Gerador SPF e DMARC

Não. Ela apenas constrói e verifica o TEXTO do registro no seu navegador e nunca consulta o DNS, então não pode provar que um registro está publicado ou ativo. Após publicar, confirme com uma ferramenta de consulta DNS e verifique os resultados de autenticação com uma mensagem de teste real.

Segundo a RFC 7208, uma avaliação SPF pode envolver no máximo 10 termos que disparam consultas DNS (include, a, mx, ptr, exists e redirect), e termos aninhados dentro de um include também contam. ip4, ip6 e all não contam. Acima do limite, os receptores retornam permerror, o que significa que o SPF falha.

Para os remetentes comuns embutidos, a ferramenta usa contagens de consultas aninhadas medidas no DNS público em 2026-10-20; para um include digitado por você, a contagem aninhada é desconhecida e é contada como 1 com um aviso. Os provedores podem alterar registros a qualquer momento, então confirme com um verificador de SPF baseado em DNS antes de publicar.

~all (falha suave) diz que fontes não listadas provavelmente não são autorizadas, mas devem ser aceitas e marcadas; serve para o começo, antes de confirmar todos os remetentes. -all (falha rígida) as rejeita de vez. A orientação do Google recomenda ~all, enquanto a Microsoft recomenda -all quando DKIM e DMARC também estão implantados. Nunca use +all, que permite a qualquer um enviar como seu domínio.

A RFC 9989 (DMARCbis) define v, p, sp, np, adkim, aspf, fo, rua, ruf, psd e t. As tags pct, rf e ri da RFC 7489 foram removidas, com t (a flag de teste; t=y substitui aproximadamente o uso comum de pct=0) assumindo o caso de uso habitual. Esta ferramenta não grava pct por padrão; ele só é adicionado se você ativá-lo em “Opções avançadas e de compatibilidade”.

Comece com p=none e um endereço rua, e colete relatórios agregados por pelo menos um mês para encontrar todos os remetentes legítimos. Alinhe o SPF ou o DKIM de cada remetente ao seu domínio From, depois passe para p=quarantine e observe de novo (use t=y primeiro se tiver dúvida). Mude para p=reject somente quando os e-mails legítimos não forem mais afetados. p=reject pode atrapalhar listas de e-mail e encaminhamentos, então leia os relatórios antes.

Quando uma caixa rua ou ruf está fora do seu domínio, esse outro domínio precisa publicar um registro TXT com o valor v=DMARC1; em “seu-dominio._report._dmarc.outro-dominio”, senão a maioria dos receptores não enviará relatórios; a ferramenta mostra o nome de host exato. A documentação do próprio Postmark diz que não é preciso adicioná-lo ao seu SPF, por isso ele não está nas predefinições; o valor include de cada serviço listado vem da documentação oficial dele.