Gerador de registros SPF e DMARC
Duas linhas curtas na sua zona DNS decidem quais servidores podem enviar e-mail em nome do seu domínio e o que acontece com todos os outros que tentarem. Responda a algumas perguntas e o gerador escreve as duas linhas enquanto você avança.
SPF
Tick everything that puts your domain in a From line: the mailbox service, the newsletter platform, the billing or help desk app, the web server behind your contact form.
Para um remetente que não está listado acima: cole os termos ip4:, ip6: ou include: que ele forneceu, com um espaço entre cada um.
Mailchimp is absent on purpose. It passes DMARC through DKIM, which you switch on in its domain settings, and needs no SPF term.
DMARC
Your instruction to receivers for mail that uses your domain and passes neither check, plus the mailbox where they report what they saw.
Use a mailbox made for this: each large receiver sends one XML file a day. No address, no reports.
DNS changes take from a few minutes to a few hours to spread. After that, confirm both records with the SPF, DKIM and DMARC checkup.
O que há dentro dos dois registros
Os dois são registros TXT, o tipo de entrada DNS de texto livre. Um registro SPF é lido da esquerda para a direita, e o primeiro termo que corresponde ao servidor remetente vence:
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 ~all
v=spf1- Marca o registro como SPF. Tem que vir primeiro.
include:- Importa a lista de servidores que um provedor mantém atualizada para os clientes. Você nunca precisa saber os endereços IP dele.
ip4:,ip6:- Um endereço ou uma faixa, para um servidor que você mesmo mantém.
mx,a- As máquinas para as quais os seus registros MX ou o endereço do seu site apontam no momento.
~allou-all- O veredito para todos os outros servidores: falha leve (aceitar com desconfiança) ou falha.
Um registro DMARC é uma lista de tags separadas por ponto e vírgula, publicada sob o nome _dmarc:
v=DMARC1; p=none; rua=mailto:dmarc@example.com;
p= é a política para o e-mail que falha, e rua= é para onde os destinatários mandam o resumo diário.
Como o gerador monta os registros
Cada caixa marcada acrescenta um termo. A lista traz quinze remetentes comuns, do Google Workspace e Microsoft 365 a SendGrid, Amazon SES e Shopify, cada um com o include publicado na sua documentação. O campo livre aceita termos ip4:, ip6: e include:, e se você digitar só um nome de host ele vira um include.
O gerador conta uma consulta DNS para cada include, mx e a, e começa a alertar a partir de sete. O SPF permite dez no total, e a maioria dos includes contém outros includes que o gerador não consegue ver a partir do seu navegador.
Se você não marcar nada, recebe v=spf1 -all, e a política DMARC sobe de none para reject. Esse par é a configuração certa para um domínio que não envia e-mail nenhum.
O domínio que você digita só serve para mostrar os nomes dos registros e preparar o link para a verificação. Ele nunca sai da página.
Cadastrando os registros no seu provedor de DNS
Abra a zona DNS onde estiverem os seus servidores de nomes, que pode ser o seu registrador, a Cloudflare ou a empresa de hospedagem. Adicione dois registros TXT.
| Registro | Campo nome ou host | Valor |
|---|---|---|
| SPF | @, ou vazio, ou o próprio domínio | A linha que começa com v=spf1 |
| DMARC | _dmarc | A linha que começa com v=DMARC1 |
A maioria dos painéis acrescenta o domínio por você, então digitar _dmarc.example.com criaria _dmarc.example.com.example.com. Deixe as aspas de fora, a menos que o painel as peça.
Se já existir um registro TXT começando com v=spf1, edite esse. Um segundo deixa os dois inválidos. O mesmo vale para _dmarc.
O que o gerador deixa com você
Aqui você não recebe DKIM, porque cada serviço de envio cria o seu próprio par de chaves. Procure “autenticação de domínio” nas configurações dele, onde ele fornece de um a três registros CNAME ou TXT para adicionar. Isso importa para o DMARC, que passa quando o SPF ou o DKIM dá certo sob o seu próprio domínio. Plataformas de newsletter muitas vezes enviam com o próprio endereço de retorno, então o SPF não as cobre e o DKIM tem que fazer o trabalho.
Comece com p=none. Depois de duas a quatro semanas de relatórios, abertos com o leitor de relatórios DMARC, você vai conhecer todas as fontes. Então passe para quarantine e mais tarde para reject, e de ~all para -all se quiser.
O gerador não lê o seu DNS atual, então não pode dizer o que já está publicado nem quantas consultas os seus includes custam de verdade. Quando os registros estiverem no ar, rode a verificação de SPF, DKIM e DMARC, que segue cada include e conta as consultas.
Perguntas frequentes
Como criar um registro SPF para Google Workspace ou Microsoft 365?
Só para o Google Workspace: v=spf1 include:_spf.google.com ~all. Só para o Microsoft 365: v=spf1 include:spf.protection.outlook.com ~all. Acrescente um include: para cada outro serviço que envia em nome do seu domínio, tudo no mesmo registro.
O que colocar no endereço rua do DMARC?
Uma caixa de e-mail criada só para isso, como dmarc@seudominio, ou o endereço que um serviço de análise de relatórios lhe der. Espere um anexo XML por dia de cada grande provedor. Um endereço em outro domínio só funciona se esse domínio publicar um registro aceitando os seus relatórios.
Quanto tempo um novo registro SPF ou DMARC leva para funcionar?
Um registro novo costuma aparecer em minutos. Um registro alterado pode continuar sendo servido pelos caches durante o TTL anterior, muitas vezes uma hora e às vezes um dia. Você pode acompanhar com a verificação de propagação DNS.
Preciso de SPF se já tenho DKIM?
Qualquer um dos dois satisfaz o DMARC, mas o Gmail e o Yahoo exigem os dois de quem envia em massa, e alguns destinatários tiram pontos de quem não tem registro SPF. Publique os dois.
Por que o Mailchimp não está na lista?
O Mailchimp envia com o próprio endereço de retorno, então um termo SPF no seu domínio nunca é avaliado para o e-mail dele. Ele passa no DMARC pelo DKIM, depois que você adiciona os registros CNAME mostrados na página de autenticação de domínio dele.
Posso ter registros SPF separados para subdomínios?
Sim. O SPF é consultado no domínio exato do endereço de retorno, então news.example.com tem o seu próprio registro e as suas próprias dez consultas. Passar um remetente pesado para um subdomínio é um jeito comum de ficar abaixo do limite.