Saltar para o conteúdo
Ajuda de emergênciaComeçar agora
Voltar para Ferramentas

Verificador de SPF

Verifique o registo SPF de um domínio: se existe, o seu qualificador all, quantas consultas DNS utiliza e o que corrigir. A mesma análise classifica o DKIM, o DMARC e o resto da segurança de e-mail do domínio.
Começar a verificação
  • Verificação baseada em DNS
  • Análise Não Intrusiva

O que é um registo SPF?

Um registo SPF (Sender Policy Framework) é um registo DNS TXT, que começa por v=spf1, que indica os servidores autorizados a enviar e-mail em nome de um domínio. Os servidores recetores comparam o endereço IP do servidor de envio com essa lista e obtêm um resultado como pass, fail ou softfail (RFC 7208).

Este verificador de SPF lê o registo no domínio, verifica se tem os problemas indicados abaixo e executa a análise completa de segurança de e-mail, para que veja também os resultados de DKIM, DMARC, MX, DNSSEC, MTA-STS, TLS-RPT e BIMI. Lê apenas DNS público: não envia e-mails nem altera registos.

Como a verificação SPF pontua o registo

O registo começa com 100 e perde pontos por cada problema. 80 ou mais é bom, 50 a 79 é um aviso e abaixo de 50 é mau. O SPF vale 20 dos 100 pontos da classificação global de segurança de e-mail.
+all
Retira 50 pontos: qualquer servidor na internet passa no SPF.
?all
Retira 30 pontos: neutral não oferece proteção.
~all
Retira 10 pontos: softfail é mais fraco do que -all.
Mais de 10 termos com consulta
Retira 20 pontos; 8 a 10 termos retiram 10. A verificação conta include:, a:, mx:, ptr: e redirect= no próprio registo e não segue os include.
ptr
Retira 10 pontos: o RFC 7208 indica que não deve ser publicado.
Mais do que um registo SPF
O registo obtém 30, porque os servidores recetores devolvem permerror.
Acima do limite de consultas, mas ainda classificado como bom
Um registo com -all e demasiados termos com consulta pode ainda obter 80, porque a pontuação soma deduções separadas. Os servidores recetores devolvem permerror para esse registo, por isso corrija primeiro as consultas.

Erros comuns de SPF e como corrigi-los

Estes são os problemas que este verificador deteta, com a alteração que corrige cada um.

Sem registo SPF

Sem SPF, os servidores recetores obtêm o resultado none e não conseguem saber que servidores podem enviar e-mail em nome do domínio.

Correção: Publique um único registo TXT no domínio que indique os seus serviços de e-mail e termine em ~all ou -all. Se o domínio não enviar e-mail, publique v=spf1 -all.

v=spf1 include:_spf.example.net ~all

Mais do que um registo SPF

Um domínio não pode publicar mais do que um registo SPF; os servidores recetores devolvem permerror e o SPF falha (RFC 7208, secções 3.2 e 4.5). Acontece frequentemente quando um novo serviço de e-mail é configurado com o seu próprio registo.

Correção: Junte os mecanismos num único registo e elimine os restantes.

v=spf1 include:_spf.example.net include:mail.example.org -all

Demasiadas consultas DNS

include, a, mx, ptr, exists e redirect custam uma consulta DNS cada, e o SPF permite 10 no total, contando as consultas dentro dos registos incluídos. Acima do limite, os servidores recetores devolvem permerror (RFC 7208, secção 4.6.4).

Correção: Remova serviços que já não utiliza ou mova alguns remetentes para um subdomínio com o seu próprio registo SPF. Substituir os include por intervalos ip4 e ip6 também resulta, mas terá então de atualizar o registo sempre que os intervalos do fornecedor mudarem.

+all permite que qualquer pessoa envie

+all corresponde a todos os servidores, pelo que qualquer anfitrião na internet passa no SPF do domínio.

Correção: Substitua-o por -all, ou por ~all enquanto confirma que todos os remetentes estão listados.

?all não oferece proteção

?all devolve neutral para servidores não listados: o domínio não faz qualquer afirmação sobre eles (RFC 7208, secção 2.6.2).

Correção: Use -all, ou ~all enquanto testa.

~all em vez de -all

~all (softfail) é uma afirmação fraca de que os servidores não listados provavelmente não estão autorizados. Os servidores recetores não devem rejeitar e-mail apenas com base em softfail, mas podem tratá-lo com mais desconfiança (RFC 7208, secção 8.5).

Correção: Quando os relatórios DMARC mostrarem que todos os remetentes legítimos passam, altere ~all para -all.

Mecanismo ptr descontinuado

O RFC 7208 indica que ptr não deve ser publicado: é lento, menos fiável quando ocorrem erros de DNS e impõe uma carga elevada aos servidores de DNS inverso (secção 5.5).

Correção: Substitua ptr por ip4, ip6, a ou include para os servidores que devia abranger.

Sintaxe SPF em resumo

Os mecanismos são avaliados da esquerda para a direita, e o primeiro que corresponder determina o resultado.
v=spf1
A versão. Todos os registos SPF começam por ela; os registos TXT que não começam por ela são ignorados.
ip4: / ip6:
Um endereço ou intervalo IPv4 ou IPv6, como 192.0.2.0/24. Sem consulta DNS.
a / mx
Os endereços do próprio domínio ou os endereços dos seus anfitriões MX. Uma consulta DNS cada.
include:
Verifica o registo SPF de outro domínio, normalmente o de um fornecedor de e-mail. Uma consulta, mais as consultas dentro desse registo.
redirect=
Usa o registo SPF de outro domínio quando nada mais corresponde. É ignorado quando o registo tem um mecanismo all.
-all / ~all / ?all / +all
O resultado para todos os outros servidores: fail, softfail, neutral ou pass. Um mecanismo sem qualificador significa pass.

Exemplo de registo

v=spf1 ip4:192.0.2.0/24 include:_spf.example.net -all

Fontes

Mais ferramentas de autenticação de e-mail

Para além dos registos DNS

Estes registos impedem que terceiros enviem e-mail em nome do seu domínio exato. Não impedem o phishing a partir de domínios semelhantes nem de contas comprometidas, que enviam e-mail autenticado. O Vigilbase OS liga as ferramentas de segurança que já paga, incluindo Microsoft 365, Google Workspace, Proofpoint e Mimecast. O agente Vigil investiga incidentes de alta severidade e os analistas da Vigilbase tratam das exceções.

SOC geridoComeçar agora
Perguntas

Perguntas frequentes sobre o verificador de SPF

O que faz um verificador de SPF?

Consulta o registo TXT que começa por v=spf1 num domínio e verifica se tem problemas que quebram ou enfraquecem o SPF: registo em falta, mais do que um registo, demasiadas consultas DNS, um qualificador all permissivo e o mecanismo ptr descontinuado. Este verificador também executa a análise completa de segurança de e-mail.Analisador de segurança de e-mailCompare as verificações públicas de segurança

Quantas consultas DNS permite o SPF?

Dez. include, a, mx, ptr, exists e redirect contam cada um, incluindo os que estão dentro de registos incluídos; ip4, ip6 e all não contam. Acima de 10, os servidores recetores têm de devolver permerror e o SPF falha (RFC 7208, secção 4.6.4).Remova serviços que já não utiliza ou mova alguns remetentes para um subdomínio com o seu próprio registo SPF. Substituir os include pelos intervalos ip4 e ip6 do fornecedor também resulta, mas terá então de atualizar o registo sempre que esses intervalos mudarem.Sobre a autenticação de e-mail

Um registo SPF deve terminar em -all ou ~all?

-all indica aos servidores recetores que os servidores não listados não estão autorizados; ~all indica que provavelmente não estão, e os servidores recetores não devem rejeitar apenas com base nisso (RFC 7208, secção 8.5). Comece com ~all enquanto confirma todos os serviços que enviam e-mail em seu nome e, depois, passe para -all.Para o DMARC, fail e softfail contam ambos como um SPF que não passou, pelo que o qualificador importa sobretudo para os servidores recetores que atuam diretamente com base no SPF.Sobre a autenticação de e-mailAnalisador de segurança de e-mail

Um domínio pode ter dois registos SPF?

Não. Se uma consulta devolver mais do que um registo TXT a começar por v=spf1, os servidores recetores devolvem permerror (RFC 7208, secção 4.5). Junte todos os mecanismos num único registo e elimine os restantes.Sobre a autenticação de e-mail

O SPF é suficiente para impedir a falsificação (spoofing)?

Não. O SPF verifica o remetente do envelope (o endereço Return-Path), não o endereço From que as pessoas veem. O DMARC associa os resultados do SPF e do DKIM ao domínio From visível e indica aos servidores recetores o que fazer quando ambos falham, por isso verifique também o DKIM e o DMARC.Sobre a autenticação de e-mailAnalisador de segurança de e-mail

Posso verificar o SPF através de uma API?

Sim. Envie um POST com {"target":"example.com"} para https://vigilbase.com/api/v1/agent/tools/email-security/execute. A resposta contém o resultado completo de segurança de e-mail, com a análise SPF em result.details.records.spf.Execute uma verificação através da API públicaAutenticação da API e limites de pedidos