Como funciona a verificação de SPF
A ferramenta lê os registros TXT do domínio informado e identifica aquele que começa com v=spf1. Depois, segue cada include e redirect como faria um servidor de recebimento, registra cada consulta que exige uma requisição DNS e verifica a sintaxe de todos os termos.
Nenhum endereço IP está envolvido. A questão aqui é se o registro é válido e se pode ser processado dentro do limite por qualquer servidor que precise avaliá-lo, não se um servidor específico pode enviar. Para verificar isso, envie uma mensagem pelo teste completo. O relatório mostrará o resultado que o servidor de recebimento realmente obteve.
Consultas DNS em excesso: o limite de dez
A RFC 7208 limita uma avaliação SPF a dez termos que exigem uma consulta DNS: include, a, mx, ptr, exists e redirect. A contagem considera toda a árvore. Portanto, um include que inclui outros três usa quatro consultas. Se o limite for excedido, o resultado será permerror, que o DMARC considera como falha do SPF.
A ferramenta conta todos os termos, inclusive aqueles que a avaliação talvez nunca alcance, porque uma avaliação real para na primeira correspondência. Os servidores listados no início continuam sendo aprovados, enquanto os que aparecem mais adiante começam a falhar. Visto de fora, isso parece um envio que funciona para algumas mensagens, mas não para outras.
Os termos ip4 e ip6 não têm custo de consulta. Substituir includes por intervalos de endereços, processo conhecido como flattening, reduz a contagem, mas exige manter manualmente esses intervalos sincronizados com os provedores.
Erros comuns em registros SPF
Dois registros SPF no mesmo domínio. Isso acontece quando o guia de configuração de um segundo provedor orienta a adicionar um registro e ninguém o combina com o primeiro. A existência de dois registros já causa um permerror.
Um final +all, que permite que qualquer servidor na internet seja aprovado, ou ?all, que não declara nada sobre nenhum servidor e, portanto, não oferece proteção. Um termo ptr, que a RFC 7208 recomenda não usar. Includes de serviços que a empresa deixou de usar há anos continuam consumindo uma consulta cada.
Perguntas
Como é um registro SPF?
É um único registro TXT no domínio que começa com v=spf1, lista quem pode enviar e termina com uma regra para todos os demais. v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all permite que o Google Workspace e um servidor enviem e retorna softfail para os demais. Um domínio pode publicar apenas um.
SPF softfail ou hardfail: ~all ou -all?
Depois que o DMARC estiver configurado, qualquer uma das opções funciona, porque o DMARC decide o que acontece com uma mensagem que falha. ~all (softfail) é a opção mais segura enquanto você ainda identifica todos os serviços que enviam em seu nome. Mude para -all quando os relatórios DMARC mostrarem que nenhuma mensagem legítima está falhando.
Por que meu registro passa no teste completo, mas mostra mais de dez consultas aqui?
O servidor destinatário interrompeu a avaliação no primeiro termo correspondente ao seu servidor, por isso não precisou fazer as consultas restantes. Outro servidor mais abaixo na lista faria a mesma avaliação ultrapassar dez consultas e falhar.
O que é uma consulta vazia?
É uma consulta DNS que não retorna registros ou consulta um nome que não existe. A RFC 7208 permite duas delas em uma avaliação. Uma terceira resulta em permerror. Includes de domínios que não existem mais são a causa mais comum.
Um domínio pode ter dois registros SPF?
Não. A RFC 7208 permite um registro que comece com v=spf1. Com dois registros, toda avaliação termina em permerror. Combine-os: mantenha um único v=spf1, adicione a ele os termos include e ip4 de ambos e termine com um único all. v=spf1 include:_spf.google.com include:servers.mcsv.net ~all abrange dois provedores em um único registro.
Guia completo: Multiple SPF records
O que significa SPF permerror?
Erro permanente: o registro não pode ser avaliado como foi publicado, portanto tentar novamente produz o mesmo resultado. As causas mais comuns são mais de dez consultas DNS, dois registros SPF em um domínio, um erro de sintaxe e uma terceira consulta sem resposta. DMARC considera um permerror como uma falha do SPF.
Guia completo: SPF permerror: too many DNS lookups
E se nenhum registro SPF for encontrado?
Os destinatários obtêm o resultado none, que o DMARC trata da mesma forma que uma falha, e qualquer pessoa pode usar seu domínio como remetente do envelope. Publique no próprio domínio um registro TXT que comece com v=spf1, liste os serviços que enviam em seu nome e termine com ~all ou -all.