O que é SPF e como configurar corretamente

Se seus e-mails estão indo direto para o spam, nove em cada dez vezes o problema começa no SPF. Este guia mostra exatamente o que é o SPF, como configurar o registro DNS corretamente e os erros que mais derrubam campanhas inteiras.

O que é SPF, em uma frase

SPF (Sender Policy Framework) é uma lista pública de servidores autorizados a enviar e-mails pelo seu domínio. Quando o Gmail, Outlook ou Yahoo recebe uma mensagem dizendo que veio de @seudominio.com, eles consultam o DNS do seu domínio, leem o SPF e conferem se o IP do remetente está mesmo na lista.

Sem SPF configurado, qualquer pessoa no mundo pode enviar um e-mail fingindo ser você. Com SPF, só os servidores que você autorizar conseguem.

Como o registro SPF é publicado

O SPF vive como um registro TXT na raiz do seu domínio. Um exemplo real de quem usa Google Workspace + RapidCloud SMTP:

Tipo:  TXT
Nome:  @ (ou seudominio.com)
Valor: v=spf1 include:_spf.google.com include:spf.rapidcloud.com.br ~all

Quebrando por partes:

• v=spf1 — versão do SPF, sempre 1.
• include:_spf.google.com — autoriza os servidores do Google Workspace.
• include:spf.rapidcloud.com.br — autoriza os servidores da RapidCloud.
• ~all — qualquer outro servidor fica marcado como suspeito (soft fail).

~all vs -all: qual escolher?

Essa é a decisão mais importante do SPF e onde mais gente erra.

• ~all (soft fail) — o provedor sinaliza como suspeito, mas normalmente entrega. Use enquanto estiver testando e autorizando novos remetentes.
• -all (hard fail) — o provedor rejeita explicitamente. Use quando você tem certeza absoluta de quem envia em seu nome.

Recomendação prática: publique com ~all, monitore os relatórios DMARC por pelo menos duas semanas, corrija qualquer remetente legítimo que estiver faltando no SPF, e só então migre para -all.

Os 4 erros que mais derrubam o SPF

1. Dois registros SPF no mesmo domínio

A RFC só permite um SPF por domínio. Quando alguém instala um serviço novo (Mailchimp, SendGrid), ao invés de editar o SPF existente, cria um segundo registro TXT. O resultado é permerror e o domínio inteiro deixa de ser autenticado.

Se precisar de múltiplos serviços, una tudo em um único registro:

v=spf1 include:_spf.google.com include:servers.mcsv.net include:spf.rapidcloud.com.br ~all

2. Mais de 10 lookups DNS

O SPF tem um limite técnico de 10 consultas DNS por resolução. Cada include:, a:, mx: conta. Se você empilhar sete provedores, cada um com seu próprio include, muitos vão expandir em sub-lookups e estourar o limite. O resultado é permerror.

Use uma ferramenta de "SPF flattening" ou reduza o número de provedores para ficar abaixo de 10.

3. Esquecer de incluir subdomínios

SPF só vale para o domínio onde está publicado. Se você envia como @marketing.seudominio.com, precisa publicar um SPF específico para marketing.seudominio.com.

4. HELO/EHLO não alinhado

O servidor SMTP se identifica via HELO/EHLO antes de enviar. Se o hostname declarado no HELO não tiver SPF próprio, alguns provedores travam por aí. Peça ao seu provedor de SMTP (como a RapidCloud) pra garantir que o HELO resolve corretamente.

Como validar se o SPF está funcionando

Três checagens que você deveria fazer sempre que mexer no SPF:

1. Propagação DNS — use dig TXT seudominio.com no terminal ou um resolver online para confirmar que o registro já aparece.
2. Entregabilidade real — envie um e-mail pelo MailTester RapidCloud. A aba "Autenticação do servidor" mostra exatamente qual SPF foi avaliado e se passou.
3. Relatórios DMARC — depois de algumas horas, o DMARC começa a reportar qualquer fonte que estiver falhando. Leia esses relatórios semanalmente.

Dica RapidCloud: se você envia e-mails transacionais ou newsletters pelo nosso SMTP, o include:spf.rapidcloud.com.br já cobre todos os IPs da nossa plataforma — mesmo quando adicionamos novos servidores. Não precisa ficar atualizando DNS a cada mudança.