O SPF é o registro DNS que lista quais servidores podem enviar e-mails por um domínio. Quando ele está ausente, duplicado ou aberto a todos, os e-mails do domínio são mais fáceis de falsificar e têm mais chance de ser rejeitados ou cair no spam.
O que significa
Os servidores de e-mail de recebimento consultam o registro SPF para decidir se uma mensagem que alega vir do seu domínio foi enviada por um servidor que você autoriza. Um domínio pode ter só um registro SPF, e ele deve terminar sinalizando (~all) ou recusando (-all) todos os outros servidores.
O que o aciona
Uma vez por dia, a verificação DNS e segurança de e-mail lê os registros TXT do domínio registrado via DNS público e analisa os que começam com v=spf1. Ela gera uma de três versões deste problema:
- Mais de um registro SPF (Alta): os servidores de recebimento passam a tratar o SPF do domínio como quebrado. Proprietários e administradores recebem um único alerta por e-mail e chat.
- O registro SPF permite que qualquer um envie e-mails (Alta): o registro termina em +all, o que autoriza todos os servidores da internet. Proprietários e administradores recebem um único alerta por e-mail e chat.
- Nenhum registro SPF (Média): só é gerado quando o domínio tem registros MX, ou seja, recebe e-mails. Aparece no app e não é enviado por e-mail.
Causas comuns
- Um serviço de newsletter, CRM ou helpdesk foi configurado com seu próprio registro v=spf1 em vez de ser adicionado ao registro existente.
- Um registro terminando em +all foi copiado de um modelo ou adicionado para evitar falhas de entrega.
- O e-mail foi migrado para um novo provedor sem publicar o registro SPF que ele pedia.
Como corrigir
- Liste todos os serviços que enviam e-mails em nome do domínio: seu provedor de caixa de e-mail, ferramenta de newsletter, site, helpdesk e software de faturamento. O guia de configuração de cada um informa o include a usar.
- No seu provedor de DNS, mantenha um único registro TXT começando com v=spf1 que inclua todos eles, por exemplo v=spf1 include:_spf.google.com include:sendgrid.net ~all, e exclua os demais.
- Termine com ~all ou -all, nunca +all, e mantenha no máximo 10 consultas de DNS (cada include conta), senão os servidores de recebimento o tratam como reprovado de qualquer forma.
- Quando o SPF estiver correto, adicione também um registro DMARC. Veja Sem registro DMARC.
Quando é resolvido
O problema some depois da próxima verificação diária que não encontrar mais o problema, e a ação dele sai do plano de ação 7 dias depois.
Se você marcar a ação como concluída e o problema ainda for encontrado 14 dias depois, ela volta como “A correção não funcionou”. Veja Usando o plano de ação.