netlupaVerificar o registro SPF de um domínio
O SPF diz quais servidores podem enviar e-mail do seu domínio. Digite-o para revisar a sintaxe e quantas consultas DNS ele gasta.
Como ler um registro SPF
Um SPF é um registro TXT que começa com “v=spf1” e segue com uma lista de mecanismos avaliados da esquerda para a direita. Por exemplo:
- v=spf1 include:_spf.google.com ip4:203.0.113.10 -all
Significa: autorizar os servidores do Google e o IP 203.0.113.10, e rejeitar todo o resto. Cada mecanismo pode ter um qualificador na frente: + (autorizar, o padrão), - (rejeitar), ~ (falha leve) ou ? (neutro).
O limite mais importante é o de 10 consultas DNS: include, a, mx, ptr, exists e redirect gastam uma cada, inclusive os que estão dentro dos include. Se passar disso, o SPF dá erro e é como não ter. A ferramenta conta todas por você.
Cada registro em detalhe
Perguntas frequentes
Como adiciono um provedor novo ao meu SPF?
Adicione o include dele ao registro que você já tem, antes do “all” final, por exemplo: v=spf1 include:_spf.google.com include:sendgrid.net ~all. Não crie um segundo registro SPF: com dois, falha.
O que fazer se eu passar de 10 consultas?
Tire os include de serviços que você não usa mais, troque o que der pelos blocos ip4/ip6 deles ou use um subdomínio separado, com SPF próprio, para envios em massa.
Qual é o meu seletor DKIM?
Abra um e-mail que você enviou, veja o código-fonte ou os cabeçalhos originais e procure DKIM-Signature: o valor de “s=” é o seletor e o de “d=” é o domínio. O Google Workspace costuma usar “google” e o Microsoft 365 “selector1” e “selector2”.
É melhor “~all” ou “-all”?
Com DMARC funcionando, a diferença prática é pequena, porque quem decide é a política DMARC. “-all” é mais rigoroso; “~all” é mais tolerante com encaminhamentos e serviços esquecidos. Sem DMARC, “-all” protege mais.
Mudei o DNS e a ferramenta não vê a mudança. Por quê?
Os registros DNS ficam em cache pelo tempo do TTL (muitas vezes uma hora). Espere esse tempo e confira de novo. Confira também se o registro está no nome certo (por exemplo, _dmarc.seudominio.com.br para o DMARC).
Preciso de SPF e DMARC em um domínio que não envia e-mail?
Sim, e é muito recomendável: publique “v=spf1 -all” e “v=DMARC1; p=reject;” para que ninguém use esse domínio para enviar e-mails falsos.
Vocês guardam os domínios que eu verifico?
Não. Consultamos o DNS público na hora, com nosso próprio resolvedor, e não guardamos nem o domínio nem o resultado.