Como unificar registros SPF no e-mail corporativo da empresa

SPF: uma zona, um registro — mas a realidade é outra

O SPF (Sender Policy Framework) publica em DNS quais servidores podem enviar e-mail em nome do domínio. Provedores legítimos pedem include: — Google, Microsoft, SendGrid, ERP, CRM, newsletter. Com o tempo, surgem dois registros TXT SPF, includes redundantes ou estouro do limite de 10 DNS lookups — e mensagens vão para spam ou falham com PermError.

TI descobre ao migrar e-mail para nuvem mantendo SPF antigo da hospedagem, ou quando marketing adiciona ferramenta sem avisar.

Erros clássicos em PMEs

• Dois TXT começando com v=spf1 — inválido; some apenas um deve existir.
• SPF no registrador e no cPanel — autoridade duplicada se nameservers mudaram.
• Include em cadeia longa — ultrapassa 10 lookups (Google + Microsoft + Mailchimp + ...).
• Softfail vs hardfail — política -all sem listar todos os remetentes legítimos bloqueia ERP.
• Esquecer subdomínio — marketing em news.empresa.com.br precisa SPF próprio ou alinhamento.

Como unificar corretamente

1. Inventarie todos os sistemas que enviam e-mail com seu domínio no From (não só webmail).
2. Escolha onde editar DNS (Registro.br, Cloudflare ou painel da hospedagem).
3. Remova registros SPF duplicados; construa um único v=spf1 com includes necessários.
4. Se lookups excederem limite, use subdomínio dedicado para marketing ou flattening via serviço especializado.
5. Publique DMARC em p=none inicialmente, monitore relatórios, evolua para quarantine.
6. Teste com ferramentas de validação e envio real para Gmail/Outlook externo.

SPF não basta sozinho

Configure DKIM em cada origem e DMARC para visibilidade. Ambiente híbrido (Exchange local + Microsoft 365) exige mapa claro de rotas. Veja e-mail profissional com domínio próprio · Guia Segurança e e-mail · E-mail e segurança ITC · Auditoria DNS.