O que é um registro SPF?
O SPF (Sender Policy Framework) informa aos servidores de e-mail de destino quais hosts podem enviar e-mail em nome do seu domínio. Um registro SPF quebrado — duplicado, com excesso de consultas DNS ou sem o mecanismo 'all' — faz com que e-mails legítimos caiam no spam. O IPeek localiza seu registro SPF, analisa cada mecanismo e sinaliza os problemas que prejudicam a entregabilidade.
Como funciona um registro SPF
O SPF fica em um registro TXT no domínio raiz, começando com v=spf1. Quando um servidor recebe um e-mail que diz ser seu, ele consulta esse registro e verifica se o IP de envio está autorizado. Um registro como v=spf1 include:_spf.google.com ip4:198.51.100.10 -all significa "permitir os hosts do Google e este único IP, rejeitar todo o resto". Os mecanismos são avaliados da esquerda para a direita; o primeiro que corresponder vence. O mecanismo all no final é o curinga que define o resultado padrão para qualquer host não listado explicitamente.
Hardfail, softfail e o limite de 10 consultas
O mecanismo all define sua política: -all é um hardfail (rejeita remetentes não listados), ~all é um softfail (aceita, mas marca como suspeito) e +all permite qualquer um — nunca use. O SPF também limita os mecanismos que fazem consulta DNS (include, a, mx, ptr, exists, redirect) a 10 consultas no total; ultrapassar esse limite gera um permerror, tratado como falha. Includes aninhados também contam, então adicionar vários fornecedores consome esse orçamento sem que você perceba. O IPeek conta cada consulta e avisa antes de você atingir o teto.
Como o SPF se encaixa com DKIM e DMARC
O SPF sozinho não basta. Ele autentica o remetente do envelope (o return-path), e não o endereço From visível que os usuários veem, então quem faz spoofing pode passar no SPF enquanto falsifica sua marca. O DMARC fecha essa brecha exigindo o alinhamento entre o domínio do SPF e o domínio From, e combinando o SPF com o DKIM para que qualquer um deles possa autenticar uma mensagem. Trate o SPF como uma de três camadas: o SPF autoriza hosts, o DKIM assina o conteúdo e o DMARC os vincula ao seu domínio From e aplica a política.