SPF (Sender Policy Framework) é um registro de texto no DNS do domínio que lista os servidores autorizados a enviar e-mail em nome dele. O provedor de quem recebe consulta essa lista para decidir se confia na mensagem.

Para que serve o SPF?

Para dificultar que alguém envie e-mail se passando pelo seu domínio e para os provedores confiarem nas suas mensagens legítimas. Sem SPF, mais mensagens vão para o spam ou são recusadas.

Posso ter dois registros SPF no mesmo domínio?

Não. O domínio deve ter um único registro SPF. Quem usa mais de um serviço de envio junta todos no mesmo registro. Dois registros invalidam a checagem.

Qual é a diferença entre ~all e -all?

Os dois dizem o que fazer com quem não está na lista. O ~all marca a mensagem como suspeita, mas deixa o provedor decidir. O -all pede a recusa. O ~all é o mais usado, porque o DMARC já cuida da decisão final.

SPF sozinho resolve a entrega?

Não. Gmail e Yahoo exigem também DKIM e DMARC de quem envia em volume, e a reputação do domínio depende ainda da qualidade da lista.

O que é SPF: para que serve e como criar o registro

Resposta rápida: SPF é um registro de texto (TXT) no DNS do seu domínio que lista quais servidores podem enviar e-mail em seu nome. Quando uma mensagem chega, o provedor do destinatário confere se ela saiu de um servidor da lista. Cada domínio deve ter um único registro SPF, começando com v=spf1 e terminando com ~all ou -all.

O que é SPF

SPF é a sigla de Sender Policy Framework. É uma lista pública, guardada no DNS do domínio, com os servidores que têm permissão para enviar e-mail por ele.

O e-mail foi criado sem conferir quem envia: qualquer servidor pode escrever o seu domínio no campo do remetente. O SPF existe para o provedor de quem recebe (Gmail, Outlook, UOL, Locaweb) ter como checar se aquela mensagem saiu de um lugar que você autorizou.

Como o SPF funciona

Você publica o registro SPF no DNS do seu domínio.
Alguém recebe uma mensagem enviada em nome do seu domínio.
O provedor dessa pessoa consulta o seu DNS e compara o servidor que enviou com a lista.
Se o servidor está na lista, o SPF passa. Se não está, o SPF falha, e a mensagem perde confiança.

Quem envia nunca vê essa conferência. Ela acontece entre o provedor do destinatário e o seu DNS, a cada mensagem.

Exemplo de registro SPF

O registro é uma linha de texto. Para um domínio que envia pelo Google Workspace e por uma ferramenta de e-mail marketing:

v=spf1 include:_spf.google.com include:servidor-da-ferramenta.com ~all

Parte	O que significa
`v=spf1`	Identifica o registro como SPF. Sempre vem primeiro.
`include:`	Autoriza os servidores de um serviço. Cada ferramenta informa o seu.
`ip4:`	Autoriza um endereço IP específico, usado por quem tem servidor próprio.
`~all`	Quem não está na lista é tratado como suspeito.
`-all`	Quem não está na lista deve ser recusado.

O valor certo de cada include está na documentação do serviço que você usa: RD Station, Brevo, Mailchimp, Locaweb, Google Workspace e Microsoft 365 publicam o deles.

Como criar o registro

Liste tudo o que envia e-mail pelo seu domínio: a caixa de e-mail da empresa, a ferramenta de marketing, o sistema que manda nota fiscal e boleto, a loja virtual, o CRM.
Pegue o include de cada serviço na documentação dele.
Junte tudo em um único registro, com v=spf1 no começo e ~all no fim.
Publique como registro TXT no painel onde o seu DNS é administrado (Registro.br, Cloudflare, Locaweb, a hospedagem), no nome do próprio domínio.
Confira o resultado. A propagação costuma levar de minutos a algumas horas.

Erros mais comuns

Dois registros SPF. É o erro mais frequente: alguém adiciona um registro novo em vez de editar o que já existe. Com dois, a checagem falha para todos os envios.
Mais de 10 consultas. Cada include conta como uma consulta ao DNS, e o limite é 10. Quem acumula serviços estoura o limite sem perceber, e o SPF passa a falhar.
Esquecer um serviço. O sistema de boletos ou o CRM envia pelo seu domínio e não está na lista. Essas mensagens falham.
Terminar com +all. Autoriza qualquer servidor do mundo. É o mesmo que não ter SPF.
Deixar serviço antigo. A ferramenta que você cancelou continua autorizada a enviar em seu nome.

SPF não trabalha sozinho

O SPF confere o servidor de envio, mas não protege o conteúdo nem o endereço que a pessoa vê no campo "De". Para isso existem os outros dois registros:

DKIM: assina cada mensagem, provando que ela não foi alterada no caminho.
DMARC: diz ao provedor o que fazer quando SPF e DKIM falham e envia relatórios para você.

Desde fevereiro de 2024, Gmail e Yahoo exigem os três de quem envia em volume. O passo a passo completo está em como configurar SPF, DKIM e DMARC.

E autenticação não compensa lista ruim. Um domínio com os três registros certos ainda vai para o spam se enviar para endereços que não existem: veja as outras causas em por que meus e-mails caem no spam.

Para testar agora

Confira de graça se o seu domínio tem SPF e se o registro está válido na ferramenta de SPF, DKIM e DMARC. Ela mostra também o DKIM, o DMARC e o que falta para as exigências do Gmail e do Yahoo.

Com o domínio autenticado, o passo seguinte é a lista: o verificador de e-mail grátis testa 3 endereços por dia sem cadastro, e o Verify valida a lista inteira.