Verificar SPF: quem pode enviar emails em nome deste domínio?
O SPF é o registo DNS em que um domínio enumera os servidores autorizados a enviar o seu email. Sem ele, ou com um que esteja estragado ou demasiado aberto, é mais fácil enviar emails falsos em nome desse domínio. Introduz um domínio, um endereço de email ou uma ligação e lemos o seu SPF e explicamos-te o que diz.
Como se usa
- Escreve o domínio que queres verificar, ou cola um endereço de email ou uma ligação: só usamos o seu domínio.
- Carrega em «Verificar SPF». Lemos o registo SPF e seguimos cada include, tal como faria um servidor de receção.
- Repara em como termina o registo e no número de consultas: o que queres ver é «-all» ou «~all» e 10 consultas ou menos.
O que significa cada resultado
- Este domínio não tem SPF
- Não diz que servidores podem enviar o seu email, o que facilita que alguém se faça passar por ele. Se o domínio é teu, publica um registo SPF.
- O registo SPF tem erros
- Os servidores de receção não o conseguem aplicar, por isso, para eles, o domínio não tem SPF. Os sinais abaixo dizem o que está mal.
- Qualquer pessoa pode enviar emails em nome deste domínio
- O registo termina em «+all», o que autoriza todos os servidores do mundo. Configurado assim, o SPF não protege nada.
- O SPF não protege totalmente o domínio
- O registo não diz o que fazer com os servidores que não estão na sua lista, por isso o email falso em nome do domínio não é assinalado.
- O SPF está bem configurado
- O domínio enumera os servidores que podem enviar o seu email e pede que o resto seja assinalado ou rejeitado. O SPF sozinho não trava a falsificação de identidade: é o DMARC que diz aos servidores de receção o que fazer.
O que significa cada sinal
- O domínio não publica nenhum registo SPF.
- Um domínio (este ou um incluído) publica mais do que um registo SPF. Só é permitido um, por isso os servidores de receção tratam-no como erro.
- O registo tem um termo mal escrito, por isso os servidores de receção tratam-no como erro.
- O registo precisa de mais de 10 consultas DNS contando todos os seus include. Acima de 10, os servidores de receção tratam-no como erro.
- Um include aponta para um domínio que não tem registo SPF, por isso os servidores de receção tratam o registo como erro.
- Os include formam um ciclo: um domínio acaba por se incluir a si próprio.
- Termina em «+all»: qualquer servidor do mundo pode enviar emails em nome deste domínio.
- Termina em «?all»: não diz nada sobre os servidores que não estão na lista, por isso não protege.
- Termina em «~all»: o email de outros servidores é marcado como suspeito, mas não é rejeitado. É a configuração mais habitual.
- Não tem «all» no fim, por isso os servidores que não estão na lista recebem um resultado neutro e nenhuma proteção.
- Usa «ptr», um mecanismo lento que a norma desaconselha. Muitos servidores de receção ignoram-no.
- Usa macros (termos com %) que mudam a cada mensagem, por isso não conseguimos seguir essa parte e o número real de consultas pode ser maior.
Ferramentas relacionadas
Que países abrange
Funciona com domínios de qualquer país. Lemos o registo como o fazem os servidores de receção (RFC 7208): os seus mecanismos, como termina, cada include e redirect até 30 consultas e o número de consultas DNS face ao limite de 10.
Lemos os registos DNS públicos do domínio. Se escreveres um endereço de email ou uma ligação, só o seu domínio sai do teu navegador. Não guardamos o domínio que consultas.
Perguntas frequentes
O que é o SPF?
Sender Policy Framework: um registo DNS em que um domínio enumera os servidores autorizados a enviar o seu email. O servidor que recebe uma mensagem verifica se o servidor que a entregou está nessa lista.
O que é melhor, «-all» ou «~all»?
«-all» pede para rejeitar o email dos servidores que não estão na lista; «~all» pede para o marcar como suspeito. Os dois protegem, e muitos domínios usam «~all» e deixam o DMARC decidir o que fazer. «+all» e «?all» não protegem.
Porque é que o limite de 10 consultas é importante?
Cada include, a, mx, ptr, exists e redirect obriga o servidor de receção a consultar o DNS. Se o registo inteiro precisar de mais de 10, é tratado como erro e o SPF deixa de funcionar. Remove os serviços que já não usas ou pede ao teu fornecedor um include mais simples.
O SPF trava sozinho os emails falsos?
Não. O SPF verifica o remetente oculto do envelope, não o endereço que vês em «De». É o DMARC que liga os dois e pede para pôr em quarentena ou rejeitar o email que falha. Verifica também o DMARC do domínio.