Tema

Ferramentas populares

Gerador de registro SPF

Escolha os serviços que enviam seus e-mails e crie um registro SPF, com as consultas DNS que ele custa aos servidores de destino contadas ao vivo enquanto você monta.

Busca de consultas da RFC 7208, a mesma do nosso verificador de SPF · includes documentados de 71 remetentes · montado no seu navegador
DNS lido pelo seu navegador

Carrega no formulário o registro SPF do seu domínio, com os remetentes. Ou escolha os remetentes abaixo: ele muda a cada escolha.

Teste

Montado no seu navegador. Só as perguntas de DNS saem dele, por HTTPS, para o resolvedor da Cloudflare (o do Google como segunda opinião).

Exemplo

Um registro de exemplo para example.com

Digite seu domínio acima para partir do que ele publica agora, ou mude qualquer coisa abaixo. O registro à direita muda a cada ajuste.

Quem envia e-mails como example.com?
Seus próprios servidores
Endereços ou intervalos IPv4
Endereços ou intervalos IPv6
Outros includes
Um domínio que um fornecedor mandou você incluir.
allE-mails de qualquer outro servidor

Servidores não listados são marcados como suspeitos, não recusados. Com o DMARC em quarantine ou reject, o DMARC decide pelo DKIM. O M3AAWG recomenda ~all.

Este domínio não envia e-mails
v=spf1 -all: nenhum servidor pode enviar como ele.

O que os servidores de destino gastam neste registro

O orçamento de 10 consultas · example.com0 de 2 vazias

/ 10 consultas usadas

110

Consulta DNS vazia

Contando os includes…

Para onde vão as consultas

include:_spf.google.comGoogle Workspace1

Antes de publicar

Pronto para publicar

Um registro, sem nada que os servidores de destino pulariam ou leriam errado.

Bom

Onde colo isto?

Escolha o seu host de DNS: os campos abaixo estão escritos do jeito que o formulário dele pede.

Linha do arquivo de zona
example.com. 3600 IN TXT "v=spf1 include:_spf.google.com ~all"

Depois de publicar

Verificação completa: example.comO link leva estas configurações, nunca uma chave. Perguntado pelo seu navegador: o resolvedor da Cloudflare, o do Google como segunda opinião.

Como criar um registro SPF?

Para criar um registro SPF, liste todo serviço que envia e-mails como o seu domínio, coloque os termos include: deles e os endereços dos seus próprios servidores em um só registro TXT no domínio e termine com ~all.

Coloque os termos baratos primeiro: endereços IP não custam nenhuma consulta DNS, a e mx custam uma cada, e um include custa uma mais tudo o que há dentro dele.

Depois conte: os servidores de destino param em 10 consultas DNS. O gerador percorre cada include ao vivo, então a contagem é a que os servidores de destino vão ver.

Quem enviaGoogle WorkspaceMailjet192.0.2.25
O registro, na ordem em que os servidores de destino o leem
v=spf1ip4:192.0.2.250 consultasinclude:_spf.google.com1 consultainclude:spf.mailjet.com1 consulta~all0 consultas
Dos remetentes a um registro
Gerador de registro SPF contando as consultas DNS de um registro acima do limite de 10, com os remetentes que mais custamGerador de registro SPF contando as consultas DNS de um registro acima do limite de 10, com os remetentes que mais custamA contagem que os servidores de destino vão alcançarCada include percorrido ao vivo pelo seu navegador, os aninhados também, exatamente como um servidor de destino conta.Uma célula por consultaColoridas pelo remetente que a gasta; acima de 10 as células ficam hachuradas: um erro permanente.Para onde vão as consultasCada termo com a sua marca, os includes aninhados e o que custa.Quem mais gastaAcima de 10, os maiores gastadores e as formas honestas de voltar para menos, com o porém de achatar.Remetentes que ficam em outro lugarServiços cujo SPF vai em um subdomínio, ou em lugar nenhum, dizem onde.
Microsoft 365, Freshdesk, Salesforce, Zendesk e Mimecast em um só registro: cada include percorrido ao vivo pelo navegador, bem acima do limite de 10, com os remetentes que mais custam e como voltar para menos.

O que vai em um registro SPF?

Mecanismos que dizem quem pode enviar (ip4, ip6, a, mx, include, exists) e um final, all ou redirect, cada um com um qualificador; todo termo que consulta o DNS custa uma das 10 consultas.

Um qualificador diz o que uma correspondência significa: + pass (o padrão), - fail, ~ softfail, ? neutral. Os servidores de destino leem da esquerda para a direita e param na primeira correspondência.

O ptr é obsoleto e lento: não use.

TermoExemploConsultas DNSUse para
ip4ip4:192.0.2.0/240Seus próprios servidores IPv4
ip6ip6:2001:db8::/320Seus próprios servidores IPv6
aa1O endereço do próprio domínio
mxmx1 + até 10 nomesServidores de entrada que também enviam
includeinclude:_spf.google.com1 + as deleO registro de um serviço
existsexists:%{i}._spf.example.com1Verificações por endereço (macros)
redirectredirect=_spf.example.com1Usar o registro inteiro de outro domínio
all~all0Todo o resto (o final)
+pass-fail~softfail?neutral
Cada mecanismo e o que ele custa

Registros SPF para Google Workspace, Microsoft 365 e outros

O registro SPF do Google Workspace é include:_spf.google.com e o do Microsoft 365 é include:spf.protection.outlook.com; a maioria dos serviços publica um termo include:, e alguns não precisam de nada no seu registro.

Cada custo abaixo foi medido no registro ao vivo do serviço e inclui tudo o que há aninhado nele, que é o que um servidor de destino gasta.

Serviços marcados como em outro lugar enviam com o próprio return path ou com um subdomínio seu, então o SPF deles fica lá.

ServiçoAcrescente ao seu registroConsultasOnde
Google Workspaceinclude:_spf.google.com1seu registro
Microsoft 365include:spf.protection.outlook.com1seu registro
Zoho Mailinclude:zohomail.com2seu registro
Amazon SESinclude:amazonses.com1um subdomínio
SendGridinclude:sendgrid.net2um subdomínio
Mailguninclude:mailgun.org5um subdomínio
Mailchimp——nada a acrescentar
Brevo—1nada a acrescentar
HubSpotinclude:<HubID>.spf0N.hubspotemail.net—seu registro
Salesforceinclude:_spf.salesforce.com2seu registro
Zendeskinclude:mail.zendesk.com1seu registro
Freshdeskinclude:email.freshdesk.com7seu registro
Postmark—1nada a acrescentar
Mimecast (global)include:_netblocks.mimecast.com9seu registro
Proton Mailinclude:_spf.protonmail.ch2seu registro
Fastmailinclude:spf.messagingengine.com1seu registro
Remetentes, o include deles e o que custa

O que é o limite de 10 consultas do SPF?

Os servidores de destino param depois de 10 termos que consultam o DNS, com os includes aninhados contados, e o SPF então falha com erro permanente para toda mensagem; uma terceira consulta que volta vazia também o faz falhar (RFC 7208).

Para voltar a ficar abaixo, mova um remetente para um subdomínio com registro próprio, tire a ou mx se esses servidores não enviam, ou peça ao fornecedor um include mais estreito.

Achatar, trocar um include pelos endereços IP dele, economiza consultas, mas fica desatualizado no dia em que o fornecedor muda os endereços: confira todo mês.

12 / 10 · erro permanente

mx1include:spf.protection.outlook.com1include:email.freshdesk.com7include:_spf.salesforce.com2include:mail.zendesk.com1
SubdomínioTirar a/mxInclude mais estreitoAchatar (fica desatualizado)
Cinco remetentes, 12 consultas

O SPF deve terminar com ~all ou -all?

Use ~all em um domínio que envia e-mails e -all em um que não envia: com o DMARC em modo de aplicação, o DMARC decide pelo DKIM, enquanto o -all pode fazer e-mails encaminhados serem recusados antes de o DMARC rodar.

O M3AAWG recomenda ~all para domínios que enviam e -all para domínios que não enviam e-mails. O Google documenta ~all para o Workspace; a Microsoft documenta -all para o Microsoft 365.

~allsoftfailAceito, marcado como suspeito; o DMARC decide com o DKIM
-allfailPode ser recusado na hora, mesmo que o DKIM passe
?allneutralComo se você não tivesse SPF
Uma mensagem de um servidor que você não listou

Quais remetentes não precisam estar no seu registro SPF?

Serviços que enviam com o próprio return path, como Mailchimp, Postmark, SparkPost, Klaviyo e Shopify, passam no SPF pelo domínio deles; Amazon SES, SendGrid e Mailgun pertencem a um subdomínio de envio seu.

O SPF verifica o remetente do envelope (Return-Path), não o endereço From que as pessoas veem. Para o DMARC, esses serviços se alinham pelo DKIM, então publique os registros DKIM deles.

From (o que as pessoas veem)From: news@example.com
Return-Path (o que o SPF verifica)Return-Path: bounce@esp.example.net

Nada a acrescentar aqui

MailchimpMandrillPostmarkSparkPostBrevoKlaviyoShopifyDynamics 365

Em um subdomínio seu

Amazon SESSendGridMailgun
O SPF verifica o Return-Path, não a linha From

Um domínio pode ter dois registros SPF?

Não: com dois registros v=spf1 em um mesmo nome, os servidores de destino encerram com erro permanente e o SPF falha, então junte os dois em um só registro.

Mantenha todo remetente dos dois, um só final, e conte as consultas do registro juntado: dois registros que cabem cada um podem passar de 10 juntos.

Publicados em example.orgv=spf1 include:_spf.google.com ~allv=spf1 include:spf.protection.outlook.com -all
Um registrov=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all
Dois registros, juntados em um

Como funcionam registros SPF longos nos hosts de DNS?

Uma string TXT guarda 255 bytes; registros mais longos são divididos em várias strings que os servidores de destino juntam sem nada no meio, e a maioria dos hosts de DNS divide para você.

A Cloudflare e o Azure aceitam o valor inteiro em um campo; o Route 53 e o Google Cloud DNS querem strings de 255 bytes entre aspas. A RFC 7208 pede que a resposta inteira fique abaixo de 450 bytes.

v=spf1 ip4:198.51.100.1 ip4:198.51.100.2 ip4:198.51.100.3 ip4:198.51.100.4 ip4:198.51.100.5 ip4:198.51.100.6 ip4:198.51.100.7 ip4:198.51.100.8 ip4:198.51.100.9 ip4:198.51.100.10 ip4:198.51.100.11 ip4:198.51.100.12 ip4:203.0.113.20 ip4:203.0.113.21 ip4:203.0.113.22 ip4:203.0.113.23 ip4:203.0.113.24 include:_spf.google.com ~all
1255 B272 B
example.com. 3600 IN TXT ( "v=spf1 ip4:198.51.100.1 ip4:198.51.100.2 ip4:198.51.100.3 ip4:198.51.100.4 ip4:198.51.100.5 ip4:198.51.100.6 ip4:198.51.100.7 ip4:198.51.100.8 ip4:198.51.100.9 ip4:198.51.100.10 ip4:198.51.100.11 ip4:198.51.100.12 ip4:203.0.113.20 ip4:203.0.113.21 ip4:203"
	".0.113.22 ip4:203.0.113.23 ip4:203.0.113.24 include:_spf.google.com ~all" )
Um registro longo, como o DNS o guarda

Perguntas frequentes sobre o gerador de registro SPF

O que é um registro SPF?

Um registro SPF é um registro TXT no seu domínio, começando com v=spf1, que lista os servidores autorizados a enviar e-mails usando o seu domínio no remetente do envelope. Os servidores de destino comparam o servidor de envio com essa lista e dão pass, softfail ou fail à mensagem. Ele é definido na RFC 7208, e o DMARC usa o resultado dele quando os domínios se alinham.

Qual é o registro SPF do Google Workspace?

v=spf1 include:_spf.google.com ~all. Esse único include cobre os servidores de envio do Google e custa uma das suas dez consultas DNS. Se outros serviços também enviam como o seu domínio, acrescente os termos include deles antes do final e mantenha um só registro: um segundo registro v=spf1 faz o SPF falhar para todos.

Qual é o registro SPF do Microsoft 365?

v=spf1 include:spf.protection.outlook.com -all, como a Microsoft documenta; ~all também funciona e é mais gentil com e-mails encaminhados. O include custa uma consulta DNS. As nuvens governamentais usam includes próprios, como spf.protection.office365.us para o GCC High, que o gerador lista como remetentes separados.

Posso ter dois registros SPF?

Não. Com dois registros v=spf1 no mesmo nome, os servidores de destino encerram com erro permanente e o SPF falha para toda mensagem. Junte-os: mantenha todo remetente dos dois em um registro com um só final. Carregue o seu domínio no gerador e ele junta as duplicatas para você e depois conta as consultas do resultado.

O que acontece se o meu registro SPF tiver mais de 10 consultas?

Os servidores de destino param no 11º termo que consulta o DNS e devolvem um erro permanente, então o SPF falha para toda mensagem, inclusive as legítimas. O DMARC ainda pode passar pelo DKIM alinhado, mas o SPF deixa de ajudar. Mova um remetente para um subdomínio, tire a ou mx onde esses servidores não enviam, ou peça a um fornecedor um include mais estreito.

Devo usar ~all ou -all?

Use ~all em um domínio que envia e-mails e -all em um que não envia. Com ~all, o que falha é marcado como suspeito e o DMARC decide pelo DKIM; com -all, alguns servidores de destino o recusam de vez, o que pode pegar e-mails encaminhados antes de o DMARC rodar. O M3AAWG recomenda ~all para domínios que enviam.

Os subdomínios precisam do próprio registro SPF?

Sim, se enviam e-mails. O SPF não é herdado: news.example.com é verificado contra o próprio registro TXT, não o de example.com. Um subdomínio que não envia nada deve publicar v=spf1 -all, e serviços como o Amazon SES ou o Mailgun esperam o registro deles no subdomínio de envio que você configura com eles.

Onde adiciono o registro SPF?

No seu host de DNS, como um registro TXT no próprio domínio: digite @ no campo de nome (o Route 53 quer vazio) e cole o valor. Se já existe um registro SPF ali, edite-o em vez de acrescentar outro. Escolha o seu host no gerador para ver os nomes exatos dos campos e como ele aceita valores longos.

O que é achatar o SPF (SPF flattening) e devo usar?

Achatar troca os termos include pelos endereços IP que eles contêm, então o registro precisa de menos consultas DNS. Funciona, mas a cópia fica desatualizada sempre que um fornecedor muda os endereços, e e-mails dos novos falham no SPF. Prefira um subdomínio ou um include mais estreito; se achatar, confira o registro todo mês.

O gerador SPF é grátis e algo é enviado ao seu servidor?

É grátis, sem cadastro. O registro é montado no seu navegador, e cada include é contado por perguntas de DNS que o seu navegador envia por HTTPS ao resolvedor da Cloudflare (e ao do Google quando a Cloudflare demora), então o seu domínio e o seu registro não passam pelo nosso servidor. Nada do que você digita é guardado.

Sentiu falta de algo?Sugira um recurso ou uma nova ferramenta

Ferramentas relacionadas