O que é SPF (Sender Policy Framework)?

Como o SPF funciona

O SPF é uma conversa curta entre o servidor que recebe e o DNS de quem diz ter enviado. Ela acontece em milissegundos, antes de a mensagem ser aceita.

Fonte: RFC 7208, a especificação oficial do SPF publicada pelo IETF, que define a autorização de hosts e a identidade verificada, e o material de configuração de DNS de e-mail da N-able University.

O que o SPF não cobre

• Ele confere o envelope, não o que você lê. A própria especificação avisa: uma mensagem autorizada pelo SPF pode conter outras identidades falsas. O remetente exibido na tela pode ser de outro domínio, e o SPF não olha para ele.
• Ele quebra quando a mensagem é encaminhada. Um servidor que reencaminha passa a ser a origem, e ele não está na lista do domínio original. O e-mail legítimo falha na conferência sem que ninguém tenha feito nada de errado.
• Ele tem um orçamento de consultas. A especificação limita em dez os termos do registro que exigem consulta ao DNS. Passada a décima consulta, a conferência devolve erro permanente e para ali: quem está no fim da lista deixa de ser autorizado, mesmo sendo legítimo.
• Ele não diz ao recebedor o que fazer. O SPF informa se a origem estava autorizada; quem transforma esse resultado em ação sobre o remetente visível é o DMARC.

O que muda no final do registro

• Recusa firme (-all) Escrito como um traço antes de all, é a declaração de que quem não está na lista não está autorizado, ponto. É a única instrução sobre a qual boa parte dos filtros realmente toma uma ação.
• Marcação fraca (~all) Escrito como um til antes de all, diz que a mensagem provavelmente não é autorizada, mas não pede nada. Muitos filtros apenas registram e entregam assim mesmo, o que faz o domínio parecer protegido sem estar.
• Neutro (?all) Escrito com um ponto de interrogação, declara explicitamente que o domínio não se compromete com resposta nenhuma. A norma manda tratá-lo exatamente como a ausência de política (RFC 7208, seção 8.2).
• Autorizar todo mundo (+all) O sinal de mais antes de all autoriza qualquer servidor do planeta a enviar pelo domínio. Aparece por engano em registros copiados de tutoriais e é pior do que não ter SPF.

Por que tantos registros de SPF não protegem nada

O SPF é o mais antigo dos três registros e o que mais acumula manutenção: cada serviço novo que passa a enviar em nome da empresa exige uma alteração nele. É por aí que entram os dois defeitos silenciosos que explicam a maior parte dos casos. O primeiro é terminar a lista com a marcação fraca: o domínio aparece com SPF publicado em qualquer verificação, o relatório interno diz que a empresa está em dia, e mesmo assim a mensagem falsificada continua sendo entregue, porque a terminação fraca não pede ação nenhuma a quem recebe. A documentação da Microsoft é mais dura: quando a mensagem também não traz assinatura, a política de DMARC acaba sendo ignorada nas falhas da terminação fraca. É por isso que a recomendação oficial é fechar com recusa firme. O segundo é o estouro do orçamento de consultas: cada serviço terceirizado incluído no registro consome parte do limite de dez, e uma empresa que acumulou correio corporativo, plataforma de marketing, emissor de notas e ferramenta de suporte ultrapassa o teto sem perceber. Quando isso acontece, a conferência passa a devolver erro permanente para os remetentes que estão no fim da lista, e o domínio fica pior do que antes de publicar o registro: além de não barrar o falsificado, começa a derrubar parte do e-mail legítimo da própria empresa. Em ambos os casos o registro existe e não protege, que é a pior das situações: a empresa acredita estar coberta e não está. E o segundo defeito ainda cobra o seu preço do outro lado: a nota que não chega, a proposta que some, a campanha que volta. Esse custo não aparece numa fatura, aparece no cliente que ligou perguntando por que não recebeu.

Como publicar um SPF que realmente vale

Um registro de SPF bem-feito é curto, único e fechado. O caminho até lá tem cinco passos:

1. Levante todos os remetentes antesListe tudo que envia com o domínio, inclusive o que foi contratado fora da área de tecnologia: a ferramenta de e-mail marketing, o sistema de notas, o formulário do site, o serviço de assinatura de documentos. O que ficar de fora vai parar em spam quando a lista for fechada.
2. Publique um único registro por domínioDois registros de SPF no mesmo domínio invalidam a conferência. Se há vários serviços, todos entram no mesmo registro, não em registros separados.
3. Fique abaixo do teto de dez consultas (acima disso o registro dá permerror)Conte os termos que exigem consulta ao DNS e mantenha folga. Se estourou, remova serviços que não enviam mais ou consolide as inclusões, em vez de aceitar o erro permanente.
4. Termine com recusa firme quando o inventário estiver fechadoA terminação fraca é um estágio de transição, não um destino. Ela existe para o período em que ainda se está descobrindo quem envia.
5. Publique também nos subdomínios que enviamSubdomínio não herda o SPF do domínio principal. Cada um que envia precisa do seu próprio registro, e os que não enviam se beneficiam de um registro que não autoriza ninguém.

Perguntas frequentes sobre SPF