Verifique um registro SPF, expanda cada include e conte as consultas DNS diante do limite de 10
Runs in your browser. Only the lookup you start is sent to cloudflare-dns.com or dns.google; nothing else leaves your device.Um verificador de SPF lê o registro TXT que lista quais servidores podem enviar e-mail por um domínio, segue cada include e redirect e conta as consultas DNS. A RFC 7208 permite no máximo 10 consultas e 2 vazias; um registro acima de qualquer um dos limites falha em todos os receptores, por mais correto que pareça.
Esta página foi traduzida automaticamente do original em inglês. Nenhuma pessoa revisou ainda a tradução; a versão em inglês é a que deve ser considerada. Ler o original em inglês
Digite o domínio, como example.com, no campo Domínio.
Toque em Verificar SPF para ler o registro e seguir cada include.
Leia, abaixo do resultado, a contagem de consultas DNS de 10 e como o registro termina.
Leia Expandido, com cada consulta numerada para ver qual include soma mais consultas.
Toque em Copiar a árvore para guardar o registro expandido.
Digite um domínio e a página pede a um resolvedor público de DNS sobre HTTPS (Cloudflare ou Google, como você preferir) os registros TXT dele, escolhe o que começa com v=spf1 e o lê termo por termo. Cada include: e redirect= é seguido, e os registros para onde apontam são lidos do mesmo jeito, então a árvore inteira de redes permitidas cabe numa só tela.
O que importa é o número de consultas DNS. A seção 4.6.4 da RFC 7208 limita uma verificação a 10 termos que precisam de DNS: include, a, mx, ptr, exists e redirect contam um cada, onde quer que estejam na árvore, enquanto ip4, ip6 e all não contam nada. Cada termo contado é numerado na árvore, então quando um registro passa do limite você vê qual include o levou até lá. Consultas que não acham nada, chamadas de consultas vazias (void), têm limite de 2, e um nome que não existe mais aparece como void.
O resultado lista o que os receptores vão fazer de fato: dois registros SPF no mesmo nome são um erro permanente, +all deixa qualquer um enviar como o domínio, ?all ou a falta de all não dá resposta para servidores não listados, ptr é desaconselhado e termos depois de all nunca são lidos. ~all pede aos receptores que marquem o e-mail de servidores não listados; -all pede que o reprovem. Cada linha cita a seção da RFC 7208 de onde vem.
O que ele não faz: verifica o registro, não uma mensagem. Termos com macros como %{i} são preenchidos a partir do endereço de envio de cada mensagem, então são contados mas não consultados. Ele não sabe dizer se o endereço de um servidor específico está coberto, a menos que esse endereço apareça no registro.
A aba do gerador escreve um registro a partir das suas escolhas, com os includes do Google Workspace e do Microsoft 365 que esses provedores documentam, e mostra quantas consultas ele usa antes das dos próprios provedores.
O domínio que você digita é enviado ao resolvedor que você escolher, porque a consulta precisa dele. Nada mais sai do seu dispositivo.
A RFC 7208 deixa um receptor fazer no máximo 10 consultas DNS ao verificar um registro SPF, contando cada include, a, mx, ptr, exists e redirect da árvore inteira. Acima de 10, o resultado é um erro permanente e o SPF falha para todas as mensagens, mesmo de servidores que o registro lista.
Os dois são válidos. Um registro que termina em -all pede aos receptores que reprovem o e-mail de servidores não listados; ~all pede que o aceitem mas o marquem como suspeito. Muitos domínios começam com ~all enquanto encontram todos os remetentes e depois passam para -all. Terminar com +all ou sem all não dá proteção nenhuma.
Não. A RFC 7208 diz que um domínio deve publicar exatamente um registro TXT começando com v=spf1. Com dois, os receptores não conseguem escolher e retornam um erro permanente, então o SPF falha para todo o e-mail. Junte os dois em um só registro, mantendo todos os includes e endereços de ambos.
Um termo ip4 ou ip6 já traz a faixa de endereços, então verificá-lo não precisa de consulta DNS. Include, a, mx, exists, ptr e redirect precisam de pelo menos uma consulta para descobrir o que representam. Trocar um include estável pelas faixas de endereços dele é o jeito comum de ficar abaixo de 10.
Sim, o nome do domínio vai para o resolvedor de DNS público que você escolher, Cloudflare ou Google, porque uma consulta DNS precisa dele. O resolvedor vê os nomes consultados e o seu endereço IP, como em qualquer consulta DNS. Nada mais sai do seu dispositivo, e este site não guarda nada sobre a verificação.
Uma consulta vazia é uma consulta DNS que não acha nada: o nome não existe, ou existe sem registro do tipo pedido. A RFC 7208 pede aos receptores que aceitem no máximo 2, porque um registro cheio de nomes mortos é um ataque comum contra receptores. Remova os nomes que não existem mais.
Ainda com dúvidas? Pergunte sobre Verificador de SPF e qualquer pessoa que saiba pode responder. Não é preciso ter conta.