Gerador e explicador de registros DNS SPF

Gerador e explicador de registros DNS SPF

Crie e valide registros SPF TXT em total conformidade com a RFC 7208, abrangendo blocos CIDR IPv4/IPv6, MX, A, mecanismos include e políticas SoftFail/HardFail.

Modelos:
Mecanismos de consulta DNS (a, mx, include, exists)
Provedores de e-mail comunsModelos populares de e-mail e SaaS
Includes de terceiros autorizados (include:)
include:_spf.google.cominclude:sendgrid.net
Endereços IPv4 e CIDR autorizados (ip4:)
ip4:198.51.100.24/32
Endereços IPv6 e CIDR autorizados (ip6:)
Mechanisms: 6Consultas DNS: 3 / 10
Length: 80 / 255 Caracteres:Classificação A+
Valor DNS TXT
80 chars
v=spf1 mx ip4:198.51.100.24/32 include:_spf.google.com include:sendgrid.net ~all
Parâmetros do registro DNS
Tipo de registro (TXT)TXT
Host / Subdomínio (@ para apex)@ (ou mycompany.io)
TTL (Tempo de vida em segundos)3600 (1 hora recomendada)
Sintaxe de zona BIND
; RFC 7208 SPF TXT Resource Record for mycompany.io
; Host/Name: @ (or mycompany.io.)
; Record Type: TXT
; TTL: 3600 seconds ({t.lbl1HourRecommended || "1 hour recommended"})

mycompany.io.    IN    TXT    "v=spf1 mx ip4:198.51.100.24/32 include:_spf.google.com include:sendgrid.net ~all"

; --- Cloudflare DNS API / Web Dashboard ---
; Type: TXT
; Name: @
; Content: v=spf1 mx ip4:198.51.100.24/32 include:_spf.google.com include:sendgrid.net ~all
; TTL: Auto (or 3600)
; Proxy status: DNS only
Policy:~all
Lookups: 3 / 10 Ready
Consultas DNS3 / 10 usadasRFC 7208 Section 4.6.4
Tamanho do registroSoftFail (~all)Compatível com alinhamento DMARC
Política de aplicaçãoClasse A+ (100/100)Zero exfiltração de dados

Avaliação 100% no cliente e privacidade

Seus domínios, IPs de servidores de e-mail internos e configurações de envio são avaliados estritamente no seu navegador. Nenhuma consulta DNS ou telemetria é enviada para servidores externos.

Conformidade RFC 7208 e limite de 10 consultas

Garante conformidade estrita com o RFC 7208: detecta se a política ultrapassa o limite de 10 consultas DNS (prevenindo rejeições PermError), valida o limite de 255 caracteres e alerta sobre mecanismos ptr obsoletos.

Predefinições SaaS, sintaxe BIND e diagnóstico CLI

Inclui modelos pré-configurados para Google Workspace, Microsoft 365, SendGrid, Amazon SES e Mailgun. Exporta valores DNS TXT, sintaxe de zona BIND e comandos de verificação dig/nslookup.

Referência técnica e guia de arquitetura

Guia do Desenvolvedor: Gerador e Analisador de Registros DNS SPF — Guia de referência

Crie e valide registros SPF TXT em total conformidade com a RFC 7208, abrangendo blocos CIDR IPv4/IPv6, MX, A, mecanismos include e políticas SoftFail/HardFail.

Parâmetros principais e controles

Diretiva do Mecanismo all (~all / -all / ?all / +all)enum ('~all' | '-all' | '?all' | '+all')

Determina a ação para remetentes que não correspondam aos mecanismos declarados. '~all' (SoftFail) aceita a mensagem aplicando marcação de suspeita; '-all' (HardFail) instrui os servidores de destino a rejeitar mensagens não autorizadas imediatamente.

Padrão: ~all
Mecanismos Include (include:dominio)string[] (FQDNs separados por espaço)

Autoriza plataformas de e-mail de terceiros (como Google Workspace, SendGrid e Microsoft 365) consultando seus respectivos registros SPF. Cada include consome consultas DNS do limite estrito de 10 da RFC 7208.

Padrão: _spf.google.com
Endereços e Blocos CIDR IPv4 (ip4:ip/cidr)string[] (notações IPv4 / CIDR)

Designa endereços IPv4 fixos ou sub-redes CIDR expressamente autorizados a despachar e-mails pelo domínio. Avaliados diretamente sem realizar consultas DNS adicionais.

Padrão: 192.0.2.1/32
Endereços e Blocos CIDR IPv6 (ip6:ip/cidr)string[] (notações IPv6 / CIDR)

Define endereços IPv6 estáticos ou prefixos CIDR /64 ou /48 para envio de mensagens. Não consome cotas de consultas DNS.

Padrão: 2001:db8::/32
Mecanismo MX (mx / mx:dominio)boolean | string (FQDN opcional)

Autoriza os endereços IP resolvidos a partir dos servidores Mail Exchange (MX) do domínio a realizar envios de e-mail. Requer consultas DNS para o registro MX e para as entradas A/AAAA correspondentes.

Padrão: false
Mecanismo A (a / a:dominio)boolean | string (FQDN opcional)

Autoriza os endereços IP vinculados aos registros raiz A ou AAAA do domínio. Indicado caso seu servidor de hospedagem despache mensagens diretamente via Postfix ou Sendmail local.

Padrão: false

Dicas profissionais e melhores práticas

A seção 4.6.4 da RFC 7208 estabelece

A seção 4.6.4 da RFC 7208 estabelece um limite intransponível de 10 consultas DNS acumuladas (somando include, a, mx, ptr, exists). Ultrapassar 10 lookups gera imediatamente um 'PermError', fazendo com que provedores como Gmail e Yahoo tratem a mensagem como não autenticada. Utilize achatamento (flattening) de IPs para incluir faixas estáticas diretas.

Nunca crie múltiplos registros TXT

Nunca crie múltiplos registros TXT iniciados por 'v=spf1' na mesma zona raiz ou subdomínio. Conforme a seção 3.2 da RFC 7208, se o MTA receptor encontrar mais de um registro SPF, ele DEVE abortar a avaliação com 'PermError'. Reúna todos os servidores e serviços em uma única entrada TXT unificada.

Ao migrar para políticas DMARC

Ao migrar para políticas DMARC rigorosas (p=quarantine ou p=reject), mantenha '~all' (SoftFail) no registro SPF em vez de '-all'. Como o reencaminhamento automático de mensagens comumente quebra a verificação SPF, '~all' evita falsos positivos ao permitir que o e-mail seja validado com sucesso pela assinatura criptográfica DKIM.

O mecanismo 'ptr' foi formalmente

O mecanismo 'ptr' foi formalmente descontinuado pela RFC 7208 em virtude do excesso de consultas de DNS reverso e de descarte por MTAs modernos. Além disso, jamais utilize '+all', pois ele autoriza explicitamente qualquer computador ou servidor da internet a disparar mensagens autenticadas em nome do seu domínio.

Problemas comuns e solução de problemas

Servidores de destino rejeitam mensagens com '550 5.7.23 SPF PermError: too many DNS lookups'

Examine seu registro SPF e diminua os mecanismos 'include:'. Plataformas corporativas de e-mail frequentemente aninham diversos outros includes internamente. Remova serviços obsoletos, converta faixas estáticas em mecanismos 'ip4:' e 'ip6:' diretos ou segregue e-mails transacionais em subdomínios dedicados.

Testes de validação apontam erro 'SPF PermError: duplicate SPF records found'

Execute 'dig +noall +answer TXT example.com' no terminal para conferir todas as entradas TXT cadastradas no DNS. Caso encontre mais de um registro começando com 'v=spf1', remova a duplicata e incorpore todos os parâmetros 'include:', 'ip4:' e 'ip6:' em uma única linha TXT.

E-mails legítimos reencaminhados para terceiros falham na validação SPF no destino

O SPF avalia o IP do remetente do envelope (RFC 5321 Return-Path). Em reencaminhamentos automáticos, o IP intermediário diverge do SPF original. Para corrigir isso de forma robusta, configure assinaturas DKIM e alinhamento DMARC, garantindo que o e-mail seja aceito pelo DKIM mesmo quando o SPF falhar.

Perguntas frequentes (FAQ)

O que é SPF e como ele previne o envio de e-mails falsificados (spoofing)?▼

O Sender Policy Framework (SPF, RFC 7208) é um protocolo de segurança baseado em DNS que permite aos proprietários de domínios definir os servidores e IPs autorizados a enviar mensagens em seu nome. Durante a sessão SMTP, o servidor de destino consulta o SPF do domínio indicado no Return-Path do envelope. Se a conexão originar-se de um IP não autorizado, a entrega é recusada ou marcada como spam.

Qual a diferença prática entre SoftFail (~all) e HardFail (-all)?▼

Ambos definem a tratativa para conexões de IPs não autorizados. O '-all' (HardFail) instrui a rejeição definitiva do e-mail no handshake SMTP. O '~all' (SoftFail) recomenda que a mensagem seja recebida, porém sinalizada como não confiável ou alocada na caixa de spam. Em arquiteturas com DMARC ativo, o '~all' é a recomendação predominante para evitar o descarte indevido de e-mails em rotas de reencaminhamento.

Por que o limite de 10 consultas DNS é aplicado de maneira tão rigorosa?▼

A RFC 7208 estipula esse limite para proteger a infraestrutura mundial de e-mail contra ataques de negação de serviço (DoS) e amplificação de consultas DNS. Sem esse teto, agentes maliciosos poderiam estruturar árvores de includes profundas ou recursivas que sobrecarregariam resolvedores a cada e-mail recebido. Ao atingir a 11ª consulta, o processo falha imediatamente com PermError.

O SPF valida o endereço 'De:' (From) exibido visualmente no aplicativo de e-mail?▼

Não. O SPF verifica exclusivamente o remetente técnico do envelope (RFC 5321 Return-Path ou MAIL FROM), ignorando o cabeçalho 'From' (RFC 5322) apresentado ao usuário final. Um invasor pode emitir mensagens usando um envelope com SPF válido enquanto forja a identidade visual no 'From'. A solução definitiva para esse vetor é o DMARC (RFC 7489), que exige o alinhamento rigoroso entre ambos os domínios.

Subdomínios herdam automaticamente a política de SPF do domínio principal?▼

Não. Subdomínios não herdam registros SPF da raiz do domínio. Na RFC 7208, a checagem é executada exatamente no FQDN presente no Return-Path da mensagem. Se o e-mail for disparado a partir de '[email protected]', o destinatário buscará o SPF específico de 'srv.example.com'. Se não houver registro configurado, o resultado será 'None', sendo obrigatória a criação de registros específicos para cada subdomínio remetente.

Ferramentas e utilitários relacionados

Todas as ferramentas →
Construtor de Registro de Política DMARC DNS e Validador de SintaxeSegurança

Gere e valide registros DNS TXT DMARC em conformidade com o RFC 7489, com aplicação de políticas (none/quarantine/reject), relatórios agregados rua/ruf e tags de alinhamento.

Abrir ferramenta→
Gerador de Registros DNS CAA e Validador de PolíticasSegurança

Crie registros DNS CAA em conformidade com a RFC 8659 para restringir a emissão de certificados SSL/TLS exclusivamente a autoridades confiáveis (Let's Encrypt, DigiCert, Sectigo).

Abrir ferramenta→
Guia do Desenvolvedor: Gerador de Registros DNS DKIM TXT e SeletoresSegurança

Gere registros DNS DKIM TXT compatíveis com a RFC 6376 com seletor, formatação de chave pública (v=DKIM1; k=rsa; p=...), divisão de 255 caracteres e validação.

Abrir ferramenta→
Guia do Desenvolvedor: Gerador de Políticas MTA-STS e Registros DNS TLS-RPTSegurança

Documentação técnica completa e boas práticas para geração de arquivos de política RFC 8461 MTA-STS, registros DNS TXT _mta-sts e relatórios RFC 8460 TLS-RPT.

Abrir ferramenta→
Decodificador e Inspetor de Segurança de Tokens JWTSegurança

Utilitário para desenvolvedores para decodificar JSON Web Tokens no navegador, inspecionar claims RFC 7519 e OIDC, auditar prazos de expiração e verificar assinaturas HMAC localmente.

Abrir ferramenta→
Gerador Criptográfico de Senhas e Frases-ChaveSegurança

Gere senhas seguras de alta entropia, frases-passe memoráveis (Diceware), códigos PIN e tokens de API com a Web Crypto API CSPRNG nativa em conformidade com o NIST SP 800-63B.

Abrir ferramenta→