Verificador SPF

É um registo TXT do domínio que enumera os servidores autorizados a enviar correio com ele. Quando chega uma mensagem, o servidor que a recebe vê de que IP vem e verifica se está nessa lista. Se não estiver, o SPF falha e a mensagem perde credibilidade: pode ir para spam ou ser rejeitada, consoante o que disser o seu DMARC.

A norma (RFC 7208) limita a dez as consultas DNS que pode custar avaliar um SPF, para que ninguém use o correio como amplificador de ataques. Contam include, a, mx, ptr, exists e redirect, também os que estão dentro de cada include. Para reduzir: remova os fornecedores que já não usa, troque a e mx pelo IP com ip4 quando for fixo, e envie as newsletters a partir de um subdomínio com o seu próprio SPF. Achatar o registo (substituir os include pelos seus IP) funciona até o fornecedor mudar de IP sem avisar.

Se já tem DMARC, ~all é suficiente: quem decide o que fazer com uma falha é o DMARC, e assim não perde correio legítimo se um dia enviar a partir de um serviço que se esqueceu de adicionar. -all faz sentido quando sabe com certeza quem envia por si. O que nunca convém é +all, que autoriza qualquer pessoa, nem ?all, que não protege nada.

Não. Se o domínio publicar dois TXT que começam por v=spf1, o resultado é um erro permanente e nenhum dos dois vale. É uma falha muito habitual ao adicionar um serviço novo: em vez de criar outro registo, adicione o include dele ao que já tem.

Ajuda, mas não basta. Desde fevereiro de 2024, o Gmail e o Yahoo pedem SPF ou DKIM a qualquer pessoa que lhes envie, e SPF, DKIM e DMARC a quem envia mais de 5.000 mensagens por dia. Além disso, veem a reputação do IP, o conteúdo e como reagem os destinatários. Para ver tudo junto, envie uma mensagem para o nosso teste de correio.