Como usar
- Marque a: os endereços do próprio domínio e mx: os servidores de e-mail do domínio se o domínio envia o próprio e-mail.
- Digite as redes dos seus servidores em Redes IPv4 e Redes IPv6, e o domínio de algum provedor em Incluir estes domínios.
- Escolha o resultado para os outros remetentes em Todos os outros remetentes. -all é a escolha mais rígida.
- Copie Registro SPF (TXT) e publique-o como um registro TXT no domínio. Confira se Consultas DNS (limite 10) fica em 10 ou menos.
Como um destinatário lê um registro SPF
Um registro SPF é um registro TXT no domínio que ele descreve. Começa com v=spf1 e depois lista termos: a, mx, ip4, ip6 e include, cada um com um qualificador opcional. O destinatário os confere da esquerda para a direita, e o primeiro termo que bate dá o resultado: + aprova, - reprova, ~ é falha suave ou ? é neutro. O + é o padrão (RFC 7208, seção 4.6.2).
- all bate com todos os outros remetentes, e os termos depois dele são ignorados (RFC 7208, seção 5.1). Esta página sempre escreve all por último.
- Quando nenhum termo bate e não há redirect, o resultado é neutro, como se ?all encerrasse o registro (seção 4.7).
O limite de 10 consultas DNS
Os termos a, mx, ptr, exists, include e redirect custam cada um uma consulta DNS, e o mesmo vale para as consultas que um registro incluído faz. Um destinatário que precisa de mais de 10 consultas para uma verificação devolve erro (RFC 7208, seção 4.6.4). Os termos ip4 e ip6 não custam consulta, por isso um provedor que publica as faixas de rede pode ser escrito com termos ip4 e ip6 em vez de um include.
Tamanho e trechos TXT
Um trecho de caracteres em um registro TXT tem no máximo 255 caracteres. Um registro maior é escrito em vários trechos, e o destinatário os junta sem espaços (RFC 7208, seção 3.3). Um registro publicado deve manter a resposta DNS abaixo de 512 octetos (seção 3.4).
Exemplo: um domínio que envia pelos próprios servidores e por um provedor
O registro v=spf1 a mx ip4:192.0.2.0/24 ip6:2001:db8:1::/48 include:_spf.example.net -all permite que os registros de endereço e os servidores de e-mail do próprio domínio enviem, permite que as duas redes enviem e permite que os remetentes que o registro de _spf.example.net autoriza enviem. Todos os outros remetentes são reprovados (-all).
Os termos a, mx e include custam uma consulta cada, e os dois termos de rede não custam nenhuma, então o registro faz 3 consultas. O registro de _spf.example.net soma as próprias consultas, que esta página não conta.
| Medida | Valor |
|---|---|
| Registro | v=spf1 a mx ip4:192.0.2.0/24 ip6:2001:db8:1::/48 include:_spf.example.net -all |
| Consultas DNS | 3 de 10 consultas DNS |
| Caracteres | 78 |
Perguntas frequentes
Devo usar -all ou ~all?
-all manda os destinatários reprovarem todo remetente que o seu registro não lista, então é a escolha mais rígida. ~all marca os outros remetentes com falha suave, o que muitos domínios usam enquanto confirmam que a lista está completa. Se não tiver certeza de que a lista está completa, comece com ~all.
Por que um registro com mais de 10 consultas falha?
Um destinatário faz no máximo 10 consultas DNS para uma verificação, e uma verificação que precisa de mais devolve erro (RFC 7208, seção 4.6.4). Remova os includes que você não usa mais, ou escreva as faixas publicadas pelo seu provedor como termos ip4 e ip6, que não custam consulta.
O registro SPF precisa ser um único trecho?
Não. Um trecho TXT tem no máximo 255 caracteres, e um registro mais longo é publicado em vários trechos entre aspas, que o destinatário junta sem espaços (RFC 7208, seção 3.3). A saída Dividido desta página mostra os trechos de um registro longo demais para um só.
O que faz o include?
include:domínio manda o destinatário verificar o registro SPF desse domínio como parte do seu (RFC 7208, seção 5.2). As consultas desse registro contam no seu limite de 10, então o include de um provedor pode custar mais do que a única consulta que você vê aqui.
Um registro SPF basta para impedir e-mails falsificados?
Não. O SPF verifica o servidor que enviou a mensagem, e depois o DMARC confere se o domínio da linha De coincide com ele (RFC 7489, seção 3.1). Publique também as assinaturas DKIM e uma política DMARC.
Este gerador envia o meu domínio para alguém?
Não. O registro é montado no seu navegador a partir do que você digita, e nada é consultado na rede nem guardado.
Fontes
- RFC 7208: Sender Policy Framework (SPF) (em inglês)
- RFC 7489: DMARC, seção 3.1 sobre alinhamento (em inglês)
- RFC 4291: IP Version 6 Addressing Architecture (em inglês)
Números e texto verificados pela última vez em terça-feira, 10 de novembro de 2026.