Dois registos SPF ou mais de 10 consultas: o SPF que parece bem e não funciona

Porque é que deixa de funcionar

• Dois registos SPF: as regras do SPF só permitem um registo começado por v=spf1 em cada domínio. Com dois, o resultado é um erro, e nenhum deles conta.
• Mais de 10 consultas: cada include:, a, mx, ptr, exists e redirect= obriga a uma consulta DNS, e as que cada include: traz consigo também contam. Acima de 10, o resultado é um erro.

Com o SPF em erro, o teu email fica só com o DKIM para provar que é teu. Se o DKIM também não estiver ligado, o DMARC falha, e os teus emails verdadeiros podem ir para o spam, ou ser recusados se o DMARC estiver em quarantine ou reject.

Passo 1: ver o que tens

Faz a verificação acima. Se aparecer «O teu domínio tem dois registos SPF, e assim nenhum conta» ou «O teu registo SPF é comprido demais para ser verificado», «Ver a prova» mostra os registos tal como estão no DNS.

No teu painel de DNS, procura entre os registos TXT do domínio principal (nome vazio ou @) os que começam por v=spf1.

Passo 2: juntar dois registos num só

Por exemplo, tens estes dois, um do email e outro das newsletters:

• v=spf1 include:_spf.google.com ~all
• v=spf1 include:servers.mcsv.net ~all

Juntos ficam num só registo:

Tipo

TXT

Nome (anfitrião)

@

Valor

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

1. Edita um dos registos e põe lá todos os include: dos dois (e os ip4: ou ip6:, se houver), uma vez cada.
2. Termina com um só all: ~all se não tens a certeza de que estão lá todos os serviços que enviam por ti, -all se tens.
3. Apaga o outro registo.

Nunca uses +all: autoriza qualquer servidor do mundo a enviar email em teu nome.

Passo 3: baixar o número de consultas

Se o problema é ter mais de 10 consultas, juntar não chega: é preciso tirar. Por esta ordem:

1. Tira os serviços que já não usas. É a causa mais comum: o fornecedor de newsletters que trocaste há dois anos continua no SPF.
2. Confirma na ajuda de cada serviço se ele precisa mesmo de estar no teu SPF. Muitos serviços de envio usam um endereço de devolução deles (ou um subdomínio teu), e então o teu SPF nem é consultado para esses emails: o que conta é a assinatura DKIM deles com o teu domínio.
3. Tira ptr sempre: as próprias regras do SPF desaconselham-no. Tira a e mx só se tiveres a certeza de que nenhum email sai desses servidores.
4. Envia as newsletters a partir de um subdomínio (por exemplo news.aminhaempresa.pt), com o seu próprio SPF. Cada subdomínio tem o seu limite de 10.

Evita trocar os include: por listas de endereços IP copiadas à mão: os serviços mudam de IP sem avisar, e o SPF deixa de funcionar sem ninguém dar por isso.

Passo 4: confirmar

Depois de gravares, espera que o DNS atualize (de minutos a algumas horas) e volta a verificar. O Excubitor conta as consultas por ti, incluindo as que cada include: traz.

Se ficares com 9 ou 10 consultas, aparece «O teu registo SPF está quase no limite», como «pode esperar»: funciona, mas o próximo serviço que juntares parte-o. Arruma antes de juntar outro.

Erros que vemos muitas vezes

• Seguir à letra as instruções de um serviço novo e criar um segundo registo SPF, em vez de juntar o include: ao que já existe.
• Dois all no mesmo registo, ou um all a meio: tudo o que vem depois dele é ignorado.
• O registo SPF posto num subdomínio por engano (por exemplo www) em vez do domínio principal.
• Um registo antigo do tipo «SPF» ao lado do TXT. Esse tipo deixou de se usar: o que conta é o TXT.

E depois do SPF?

Confirma que o DKIM está ligado: sem ele, um SPF em erro deixa o teu email sem nenhuma prova de que é teu.

DKIM no Google Workspace, passo a passo

DKIM no Microsoft 365, passo a passo

Para não teres de voltar a verificar

O SPF parte-se no dia em que alguém junta um serviço novo, e ninguém dá por isso até os emails começarem a falhar. O Excubitor pode vigiar o domínio todas as semanas e escrever-te só quando algo muda. Grátis para 1 domínio: faz a verificação e carrega em «Avisa-me».