SPF (Sender Policy Framework): o que é e como configurar

O SPF é um dos registos DNS mais importantes para evitar que terceiros enviem emails fazendo-se passar pelo seu domínio. Neste artigo explicamos o que é, porque importa e como configurar corretamente o SPF do seu domínio.

O que é o registo SPF

O SPF (Sender Policy Framework) é um registo DNS do tipo TXT que define quais os servidores autorizados a enviar emails em nome do seu domínio. Quando um servidor de destino recebe um email, pode consultar o registo SPF do domínio remetente para confirmar se aquele servidor de envio está de facto autorizado.

Porque é importante

Sem um SPF corretamente configurado, qualquer servidor pode enviar emails fazendo-se passar pelo seu domínio – uma técnica comum em ataques de phishing. Isto pode prejudicar seriamente a reputação do seu domínio e a confiança dos seus clientes e parceiros, além de aumentar a probabilidade de os seus emails legítimos serem marcados como spam.

Boas práticas

Ter apenas um registo SPF por domínio – múltiplos registos invalidam a verificação.
Incluir todos os serviços que enviam email em seu nome (servidor de email principal, newsletter, CRM, ferramentas de faturação, etc.).
Rever o registo SPF sempre que adicionar ou remover um serviço de envio de email.
Preferir uma política restritiva (-all) assim que tiver a certeza de que listou todos os emissores autorizados.

Como corrigir

Aceda ao painel de gestão DNS do seu domínio (normalmente no fornecedor onde registou o domínio ou onde está alojado o site).
Crie um registo do tipo TXT na raiz do domínio.
Defina o valor com a lista de servidores autorizados a enviar email, por exemplo:

v=spf1 include:_spf.google.com ~all
Se utiliza vários serviços de envio de email (ex: newsletter, CRM, servidor de email próprio), inclua todos os fornecedores relevantes no mesmo registo SPF – não deve haver mais do que um registo SPF por domínio.
Termine sempre a política com ~all (soft fail, recomendado para transição) ou -all (hard fail, mais restritivo, recomendado quando tem a certeza de que listou todos os emissores autorizados).

Prefere não arriscar configurar o SPF sozinho? Um SPF mal configurado pode bloquear os seus próprios emails legítimos ou, pior, deixar o domínio aberto a spoofing sem que perceba. Muitos serviços de alojamento nem sequer configuram o SPF por defeito. Na WebDig Host, tratamos da configuração de SPF, DKIM e DMARC do seu domínio por si, com acompanhamento humano – sem complicações técnicas para si.

Conhecer os serviços de alojamento e gestão de domínios da WebDig Host

Perguntas frequentes sobre o SPF

O que acontece se tiver mais do que um registo SPF?

O registo fica inválido perante a maioria dos servidores de email, o que pode levar a que os seus emails legítimos sejam rejeitados ou marcados como spam. Deve juntar sempre todos os emissores autorizados num único registo SPF.

Qual a diferença entre `~all` e `-all`?

~all (soft fail) indica que emails de servidores não listados devem ser tratados com suspeita, mas não necessariamente rejeitados. -all (hard fail) indica que devem ser rejeitados. Recomenda-se começar com ~all durante a fase de testes e avançar para -all quando tiver confirmado que todos os emissores legítimos estão corretamente listados.

O SPF sozinho é suficiente para proteger o meu domínio contra spoofing?

Não. O SPF deve ser complementado com DKIM e DMARC para uma proteção completa contra spoofing e phishing.

Verifique agora o SPF do seu domínio

Com o Secure Check, pode confirmar gratuitamente se o SPF do seu domínio está corretamente configurado, em poucos segundos.