O que é um registro SPF e por que meu domínio precisa de um?

É um TXT no DNS listando os servidores autorizados a enviar e-mail como seu domínio. Os receptores conferem o servidor conectado contra ele; sem SPF, qualquer um pode forjar seu endereço.

Termino com ~all ou com -all?

Comece com ~all: as falhas são marcadas mas entregues, e um remetente esquecido não perde e-mail. Passe para -all quando os relatórios mostrarem toda fonte legítima aprovando.

O que é o limite de 10 consultas DNS do SPF?

A RFC 7208 limita a dez os mecanismos que consultam DNS por avaliação, contados recursivamente. Ultrapassar devolve permerror, que muitos receptores pontuam como falha. Cada include de provedor costuma custar de uma a três.

SPF sozinho bloqueia a falsificação de e-mail?

Não. O SPF valida o remetente do envelope, não o De visível, e quebra no encaminhamento. Combine com DKIM e uma política DMARC — os três juntos são a autenticação real.

Gerador de registro SPF

Monte o registro TXT SPF que autoriza seus remetentes, ou cole um existente para validar a sintaxe e contar as consultas DNS contra o limite de 10.

O Gerador de registro SPF roda inteiramente no seu navegador. Os registros são montados e conferidos no seu dispositivo, sem consultas DNS nem envios.

Abrir o Gerador de registro DMARC

Sobre Gerador de registro SPF

O Gerador de registro SPF monta o único registro TXT que diz aos servidores receptores quem pode enviar e-mail em nome do seu domínio. Marque os provedores pelos quais você envia — Google Workspace, Microsoft 365, SendGrid — e eles viram seus mecanismos include documentados; adicione seus próprios servidores por IP e escolha o que acontece com o resto do mundo: ~all softfail enquanto você ainda descobre remetentes, -all rejeição quando a lista está completa. O validador analisa qualquer registro existente como um receptor faria: confere o prefixo v=spf1, aponta o obsoleto ptr e o catastrófico +all, avisa de termos após o all que os receptores ignoram, e conta os mecanismos com consulta DNS contra o limite rígido de 10 que quebra tantos registros em silêncio.

Recursos

Includes de um clique para os grandes provedores
Mecanismos ip4 e ip6 com validação de endereços e CIDR
Chaves a e mx para domínios que enviam dos próprios hosts
As quatro políticas all explicadas com franqueza
Contador de consultas DNS contra o limite de 10 da RFC 7208
Tudo validado no seu navegador, sem consultas remotas

Como usar Gerador de registro SPF

Marque os provedores que enviam e-mail pelo seu domínio
Adicione seus IPs próprios, se houver, e defina a política all
Copie o registro para um TXT no domínio raiz
Ou mude para o modo verificação e cole um registro existente

Exemplo

Entrada

Google Workspace + SendGrid · ~all

Saída

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Duas consultas DNS das dez permitidas — folga de sobra.

Erros comuns e solução de problemas

O e-mail falha no SPF mesmo com o registro aparentemente certo. — Conte as consultas: include, a, mx, ptr, exists e redirect custam uma cada, e includes aninhados também contam. Passadas dez, os receptores devolvem permerror. Achate includes pouco usados em mecanismos ip4.
O domínio tem dois registros SPF. — Isso é erro permanente automático. Funda todos os mecanismos numa única cadeia v=spf1: só pode existir um registro SPF por domínio.
Tudo passa — inclusive e-mail falsificado. — Procure +all, que autoriza a internet inteira e é pior que não ter registro. Use -all, ou ~all durante a implantação, e combine com DMARC.

Perguntas frequentes

O que é um registro SPF e por que meu domínio precisa de um?: É um TXT no DNS listando os servidores autorizados a enviar e-mail como seu domínio. Os receptores conferem o servidor conectado contra ele; sem SPF, qualquer um pode forjar seu endereço.
Termino com ~all ou com -all?: Comece com ~all: as falhas são marcadas mas entregues, e um remetente esquecido não perde e-mail. Passe para -all quando os relatórios mostrarem toda fonte legítima aprovando.
O que é o limite de 10 consultas DNS do SPF?: A RFC 7208 limita a dez os mecanismos que consultam DNS por avaliação, contados recursivamente. Ultrapassar devolve permerror, que muitos receptores pontuam como falha. Cada include de provedor costuma custar de uma a três.
SPF sozinho bloqueia a falsificação de e-mail?: Não. O SPF valida o remetente do envelope, não o De visível, e quebra no encaminhamento. Combine com DKIM e uma política DMARC — os três juntos são a autenticação real.

Ferramentas relacionadas

Gerador de registro DMARC — Cria e valida registros DMARC TXT com política e relatórios.
Calculadora de CIDR / sub-redes — Calcule rede, broadcast, intervalo de hosts e máscara de um bloco CIDR.
Consulta de portas — O que roda numa porta TCP ou UDP, por número ou nome.
Gerador de endereço MAC — Gere endereços MAC aleatórios ou com prefixo de fabricante.
Conversor de IPv6 ↔ IPv4 — Converta entre IPv4 e IPv6 (mapeado/expandido/comprimido) e extraia o IPv4 embutido.
Calculadora de consumo de dados — Converte hábitos de streaming e navegação em GB por mês.