Ferramenta gratuita

Gerador de registro SPF

Crie um registro SPF TXT válido para o seu domínio. Adicione endereços IP, servidores de e-mail e remetentes de terceiros — obtenha o valor DNS exato para publicar.

Gere o seu registro SPF

Domínio

Endereços IP autorizados (até 5)

Adicione endereços IPv4 ou IPv6 autorizados a enviar e-mail por este domínio.

Diretivas include (até 3)

Adicione serviços de envio de terceiros como Google Workspace ou SendGrid.

Política (qualificador all)

O que é um registro SPF e por que importa?

Um registro SPF (Sender Policy Framework) é um registro DNS TXT que especifica quais servidores de e-mail estão autorizados a enviar e-mail em nome do seu domínio. Quando um servidor destinatário recebe uma mensagem que alega vir do seu domínio, consulta o registro SPF para verificar se o IP de envio está listado. Se o IP não estiver autorizado, a mensagem pode ser rejeitada ou marcada como spam.

SPF é um dos três padrões fundamentais de autenticação de e-mail, junto com DKIM e DMARC. Sem ele, qualquer um pode forjar o seu domínio no campo envelope sender, tornando o domínio alvo de phishing e spoofing. A maioria dos provedores de caixa de correio e gateways corporativos modernos verifica SPF antes de aceitar e-mail.

Entendendo a sintaxe do registro SPF

Todo registro SPF começa com v=spf1, que declara a versão. Depois você adiciona mecanismos listando remetentes autorizados. O registro termina com um qualificador chamado mecanismo all.

ip4:x.x.x.x — autoriza um único endereço IPv4
ip4:x.x.x.x/24 — autoriza um intervalo CIDR IPv4
ip6:::1 — autoriza um endereço IPv6
include:domain.com — importa o registro SPF de outro domínio (para remetentes de terceiros)
a — autoriza o IP do registro A do domínio
mx — autoriza os IPs do registro MX do domínio

Qualificadores de política SPF explicados

O qualificador no final do seu registro SPF controla o que os servidores destinatários fazem com e-mail de remetentes não autorizados.

Qualificador	Comportamento
+all	Todos os remetentes passam. Nunca use — anula totalmente o SPF.
~all	Softfail — e-mail não autorizado é aceito, mas sinalizado. Use em testes.
-all	Hard fail — e-mail não autorizado é rejeitado. Use em produção.
?all	Neutral — nenhuma política declarada. Raramente útil.

Diretivas include SPF comuns

Se você usa serviços de e-mail de terceiros, precisa adicionar os domínios de envio autorizados com diretivas include:. Estas são as mais usadas:

Google Workspace: include:_spf.google.com
Microsoft 365: include:spf.protection.outlook.com
Mailchimp: include:servers.mcsv.net
SendGrid: include:sendgrid.net
Mailgun: include:mailgun.org

Limites de consulta SPF e como ficar abaixo deles

SPF tem um limite rígido de 10 consultas DNS durante a avaliação. Cada mecanismo include:, a e mx conta como uma consulta. Muitos registros SPF de terceiros disparam consultas internas adicionais. Se o registro ultrapassar 10 consultas no total, a avaliação SPF retorna PermError, tratado como falha. Para ficar abaixo do limite, use IPs diretos quando possível e evite cadeias de includes aninhados.

SPF funciona melhor com DKIM e DMARC

Só o SPF protege o envelope sender (Return-Path), não o endereço From visível. Para proteção completa contra spoofing, você também precisa de DKIM para assinar mensagens e DMARC para alinhar os resultados de autenticação com o cabeçalho From. Juntos, esses três padrões formam a base de autenticação de e-mail esperada por Gmail, Outlook e Yahoo Mail.

Depois de configurar o SPF, mantenha também as listas limpas. A verificação de e-mail remove endereços inválidos e de risco antes do envio, mantém baixas as taxas de bounce e protege a reputação de remetente construída com autenticação correta. Você também pode verificar endereços em massa via verificação em massa de e-mail ou integrar a verificação ao seu stack via a API de validação de e-mail.

Perguntas frequentes

1. O que significa SPF e por que importa?

SPF significa Sender Policy Framework. É um método de autenticação de e-mail baseado em DNS que permite aos donos de domínio especificar quais servidores de e-mail podem enviar em seu nome. Sem SPF, qualquer servidor pode alegar enviar e-mail do seu domínio, tornando o phishing trivial. ISPs e filtros de spam usam resultados SPF como sinal primário de confiança ao decidir se entregam o seu e-mail.

2. Como publico um registro SPF?

Gere o registro SPF com esta ferramenta, entre no provedor DNS e adicione um registro TXT na raiz do domínio (muitas vezes @ ou o domínio nu) com o valor gerado. As alterações costumam propagar em 30 minutos, mas podem levar até 48 horas globalmente.

3. Qual a diferença entre ~all e -all?

~all (softfail) diz aos servidores destinatários que e-mails de IPs não listados são suspeitos, mas ainda devem ser aceitos. -all (hardfail) instrui a rejeitar ou penalizar fortemente remetentes não listados. Use ~all ao configurar SPF pela primeira vez e mude para -all quando tiver certeza de que todos os serviços de envio estão listados.

4. Posso ter vários registros SPF em um domínio?

Não. Um domínio deve ter exatamente um registro SPF. Se existirem dois registros TXT começando com v=spf1 no mesmo domínio, a avaliação SPF resulta em erro permanente e todo o e-mail falha na verificação SPF. Combine todos os mecanismos em um único registro.

5. Quantas consultas DNS um registro SPF permite?

SPF limita o total de mecanismos que consultam DNS (include, a, mx, ptr, exists) a 10 por avaliação. Exceder esse limite resulta em permerror. Conte os includes com cuidado — muitos provedores encadeiam includes aninhados que contam para o limite.

6. Só o SPF impede spoofing de e-mail?

SPF autentica apenas o endereço envelope-from (MAIL FROM), não o cabeçalho From visível aos destinatários. Atacantes ainda podem forjar o From mesmo se o SPF passar. Para impedir totalmente o spoofing de domínio visível na caixa de entrada, você precisa de política DMARC alinhada com SPF e DKIM.