O que é SPF (Sender Policy Framework)?

Definição

O Sender Policy Framework é um dos três padrões centrais de autenticação de e-mail, ao lado de DKIM e DMARC. Ele aborda uma fragilidade básica do e-mail: por padrão, qualquer pessoa pode enviar uma mensagem que afirma vir de qualquer domínio, porque os protocolos de e-mail originais nunca incorporaram uma forma de provar quem é o remetente real. O SPF fecha parte dessa lacuna ao dar ao dono de um domínio uma maneira de declarar, publicamente e em um formato legível por máquina, exatamente quais servidores têm permissão para enviar mensagens em nome do domínio.

Essa declaração fica no Domain Name System, o mesmo diretório global que traduz nomes de domínio em endereços de rede. O dono do domínio publica um registro DNS especial que nomeia os remetentes autorizados. Quando uma mensagem chega, o servidor de e-mail receptor consulta esse registro e o compara com o servidor que de fato entregou a mensagem. Se o servidor de envio está na lista, a mensagem passa no SPF. Se não está, a mensagem falha no SPF, o que é um forte indício de que a mensagem pode ser falsificada. O SPF não criptografa nada e não checa o conteúdo da mensagem. Ele responde a uma pergunta focada: esta mensagem foi enviada de um servidor que o dono do domínio aprovou?

Como Funciona

Uma política de SPF é publicada como um único registro DNS TXT no domínio. O registro sempre começa com a tag de versão v=spf1, seguida por uma série de mecanismos que descrevem os remetentes autorizados, e normalmente termina com um mecanismo all que define o resultado padrão. Um registro simples poderia ser v=spf1 include:_spf.google.com -all, que autoriza os servidores de e-mail do Google Workspace e rejeita todo o resto.

Os mecanismos são os blocos de construção. Os mecanismos ip4 e ip6 autorizam diretamente endereços ou faixas de endereços específicos. O mecanismo a autoriza os servidores encontrados nos registros de endereço do domínio, e o mx autoriza os servidores listados como os mail exchangers do domínio. O mecanismo include é o mais comum na prática, já que ele incorpora a política de SPF de outro provedor, que é como um domínio delega o envio a serviços como Google, Microsoft ou uma plataforma de e-mail. Cada mecanismo pode carregar um qualificador que define o resultado quando ele corresponde. Um sinal de mais, que é o padrão, significa pass. Um sinal de menos significa fail, um til significa softfail, que é um aviso brando, e um ponto de interrogação significa neutral. O mecanismo all no final pega todos os servidores que não corresponderam, então -all é uma rejeição rígida de qualquer coisa não listada, enquanto ~all é um sinal mais brando.

Quando um servidor receptor avalia o SPF, ele checa o endereço envelope-from, que é o return-path declarado durante a troca SMTP, e, para mensagens de bounce com um return-path vazio, ele checa a identidade HELO em vez disso. O padrão impõe uma restrição importante: avaliar um registro pode usar no máximo dez consultas DNS, e mecanismos como include, a, mx e exists consomem uma cada. Se um registro precisar de mais de dez, ele produz um PermError, que os receptores podem tratar como uma falha, então os registros SPF devem ser mantidos compactos. O SPF também tem limites estruturais. Ele quebra quando a mensagem é encaminhada, porque o servidor de encaminhamento não está na lista do domínio original, e, crucialmente, ele só valida o endereço envelope-from, não o endereço From visível que o destinatário de fato vê.

Por Que Isso Importa para a Entregabilidade de E-mail

O SPF agora é um requisito básico, e não um extra opcional. Os provedores de caixa postal tratam uma checagem de SPF aprovada como um sinal positivo de confiança e tratam um registro ausente ou falho como motivo de suspeita, o que afeta diretamente se a mensagem chega à caixa de entrada ou à pasta de spam. Desde os requisitos para remetentes de 2024 introduzidos por Google e Yahoo, espera-se que remetentes em massa se autentiquem com SPF, e um domínio sem um registro SPF válido pode ter suas mensagens limitadas ou rejeitadas totalmente.

O SPF também importa porque é um pré-requisito para o DMARC, a camada de política que liga a autenticação ao endereço From visível. O DMARC funciona checando se o SPF ou o DKIM passou e se o resultado se alinha com o domínio From. Sem um registro SPF corretamente configurado, um domínio não consegue alcançar o alinhamento DMARC pelo SPF, o que enfraquece sua proteção geral. Ao mesmo tempo, é importante ser realista sobre o que o SPF não pode fazer. Como ele ignora o cabeçalho From visível e quebra no encaminhamento, o SPF sozinho não consegue deter um falsificador determinado. Ele é uma camada necessária de uma defesa de três camadas, e entrega todo o seu valor apenas quando DKIM e DMARC estão ao seu lado.

Como a VeriMails Lida com Isso

O SPF e a verificação de e-mail resolvem duas metades diferentes do mesmo problema de entregabilidade. O SPF autentica as mensagens que você envia para que os servidores receptores confiem que elas vieram genuinamente de você. A verificação de e-mail limpa a lista para a qual você envia, de modo que você só envie para endereços reais e alcançáveis. Um forte posicionamento na caixa de entrada precisa que ambos funcionem juntos, e nenhum substitui o outro.

A VeriMails foca no lado do destinatário. Cada endereço que você envia é checado por validação de sintaxe, consulta de MX e DNS, um handshake SMTP ao vivo, detecção de catch-all, detecção de endereços descartáveis e detecção de baseado em função, de modo que endereços inválidos sejam removidos antes que possam dar bounce e derrubar uma reputação que bons registros de SPF, DKIM e DMARC existem para proteger. Para ajudar também no lado da autenticação, a VeriMails oferece um gerador de SPF gratuito que constrói um registro sintaticamente correto para o seu domínio e seus serviços de envio, mantendo-o dentro do limite de dez consultas. Você pode verificar uma lista pela REST API ou por um upload de CSV em massa, com categorias de entregabilidade claras para decisões de campanha. A verificação começa em $0.0019 por e-mail, com 10,000 créditos por $19 e planos anuais a partir de $12.50/month na cobrança anual, e toda conta começa com 100 créditos gratuitos, sem precisar de cartão de crédito, que nunca expiram.

Perguntas Frequentes