Como configurar o registo SPF do Google Workspace para uma entregabilidade de email profissional

Embora configurar um registo SPF do Google Workspace pareça tão simples como publicar um único registo DNS TXT, há aspetos técnicos cruciais a ter em conta. Desde compreender o papel do SPF na autenticação de emails até evitar erros comuns, como múltiplos registos SPF ou exceder os limites de consultas DNS, todos os detalhes importam.

Neste guia, mostramos-te uma abordagem clara, passo a passo, para configurares o SPF para o Google Workspace. Vais garantir que os teus emails passam na autenticação, melhorar a chegada ao inbox e apoiar protocolos adicionais como DKIM e DMARC.

O que é um Registo SPF do Google Workspace?

Um registo SPF do Google Workspace é uma entrada DNS TXT que diz aos servidores de receção quais os servidores de correio autorizados a enviar emails em nome do teu domínio do Google Workspace. Sem um registo SPF, o Gmail e o Outlook não conseguem verificar a autenticidade dos teus emails, o que aumenta a probabilidade de as tuas mensagens irem parar ao spam ou serem usadas em ataques de spoofing. 

Em termos simples, se tens um domínio como a tuaempresa.com e envias emails através do Google Workspace, um registo SPF prova aos servidores recetores que os servidores de correio do Google estão autorizados a enviar mensagens em nome do teu domínio.

O SPF é um dos três principais protocolos de autenticação de email, juntamente com o DKIM e o DMARC, que juntos melhoram a autenticação de mensagens e a chegada ao inbox.

Como Funciona o SPF

O SPF funciona comparando o endereço IP do servidor que enviou a tua mensagem com a lista de remetentes autorizados publicada nos registos DNS do teu domínio.

Aqui tens um fluxo simplificado:

1. Um utilizador envia um email através do Google Workspace.
2. O servidor de correio do destinatário (por exemplo, o Gmail ou o Outlook) consulta os registos DNS do teu domínio para encontrar uma entrada SPF.
3. Se o endereço IP de envio ou o serviço de envio estiver listado, a mensagem passa na verificação SPF e avança para o processo de filtragem para a caixa de entrada..
4. Se não estiver listado, a mensagem falha a validação SPF e pode ser marcada como spam, colocada em quarentena ou rejeitada pelo servidor de correio do destinatário..
   
   

Exemplo de registo SPF do Google Workspace:

v=spf1 include:_spf.google.com ~all

Este registo indica que:

• v=spf1 → versão do SPF que está a ser utilizada
• include:_spf.google.com → autoriza os servidores de correio do Google
• ~all → softfail para tudo o que não estiver listado (assinala como suspeito, mas não bloqueia totalmente)

Componentes Comuns de um Registo SPF 

Ao configurar ou resolver problemas em registos SPF, vais ver frequentemente estes mecanismos comuns:

• include → faz referência a outro registo SPF (por exemplo, include:_spf.google.com)
• ip4 / ip6 → permite que um endereço IPv4 ou IPv6 específico envie correio
• a → autoriza os servidores de correio definidos no registo A do teu domínio
• mx → autoriza os servidores de correio do teu domínio
• all → corresponde a tudo (tem de aparecer no fim)
• ~all → "softfail", o correio não autorizado é aceite mas marcado
• -all → "hardfail", o correio não autorizado é rejeitado 

Porque é que o Google Workspace Exige Configuração SPF

Sem um registo SPF, o teu domínio do Google Workspace fica exposto. Pessoas mal-intencionadas podem falsificar o teu endereço de email, lançar ataques de phishing em teu nome ou impersonar a tua marca perante os clientes. Quando os fornecedores de caixas de correio, como o Gmail ou o Outlook, não conseguem verificar se uma mensagem vem do teu domínio, as mensagens legítimas podem ir parar à pasta de spam. Este é um dos problemas de entregabilidade de email mais comuns que as organizações enfrentam quando falta a autenticação básica de email.

É por isso que o SPF é mais do que uma definição técnica. Configurá-lo diz aos fornecedores: "Sim, estes são os servidores autorizados a enviar em nome do meu domínio." O resultado é uma melhor reputação de remetente, melhores taxas de colocação na caixa de entrada e o alinhamento com os padrões de autenticação esperados pelos fornecedores de caixas de correio.

Passo a Passo: Como Configurar o SPF no Google Workspace

Antes de modificares as tuas definições de DNS, revê primeiro estes pré-requisitos. Muitos problemas de entregabilidade vêm de remetentes em falta nos registos SPF ou de publicar vários registos SPF para o mesmo domínio. O Google Workspace simplifica o processo, mas tens de cumprir estes requisitos de configuração antes de editares o DNS.

O que deves saber de início:

• Alguns domínios já têm o SPF pré-configurado, especialmente se os compraste através de um parceiro da Google. Verifica os registos existentes com uma ferramenta de pesquisa/validação de SPF (por exemplo, um verificador de SPF ou a Google Admin Toolbox) antes de fazeres alterações.
• Os registos SPF são configurados no teu fornecedor de DNS (gestor de domínios ou anfitrião de DNS), e não na consola do Google Admin. Adiciona ou atualiza o registo TXT SPF através do painel de controlo do teu fornecedor de DNS (por exemplo, GoDaddy, Cloudflare, Namecheap).
• Só é permitido um registo TXT SPF por domínio; publicar vários registos SPF faz com que a validação do SPF falhe.

Passo 1: Identificar Todos os Remetentes de Email

O teu registo SPF tem de incluir todos os servidores ou serviços que enviam emails em nome do teu domínio. Para domínios que só usam o Google Workspace, este pode ser o único remetente. No entanto, na maioria das organizações, também tem de incluir remetentes adicionais, tais como:

• Servidores web
• Servidores de mail locais (por exemplo, Microsoft Exchange)
• Servidores de mail usados pelo teu fornecedor de alojamento
• Gateways de envio
• Plataformas de CRM e de outreach (Salesforce, HubSpot, MailReach, Apollo, etc.)
• Plataformas de marketing (por exemplo, Mailchimp, SendGrid)
• Ferramentas transacionais (Shopify, Stripe, Zendesk)
• Formulários de websites que enviam emails automáticos

Passo 2: Determinar o teu registo SPF

Assim que tiveres a lista completa de remetentes, cria o teu registo SPF. Um registo SPF é uma pequena sequência de texto publicada nas definições de DNS do teu domínio. Diz aos fornecedores de correio eletrónico quais os servidores autorizados a enviar em nome do teu domínio.

O teu trabalho consiste em juntar todos os domínios e endereços IP do teu inventário de remetentes num único registo SPF, garantindo que nenhum remetente legítimo fica de fora. Só é permitido um registo TXT SPF por domínio; publicar vários registos SPF faz com que a avaliação do SPF falhe.

Se também usas outras plataformas como Mailchimp, Salesforce ou Microsoft 365, tens de as juntar numa única sequência para que todos os teus serviços fiquem cobertos.

Por exemplo:

Lembra-te sempre: Deve existir apenas um registo SPF.

Passo 3: Adicionar o teu registo SPF no anfitrião do domínio

• Inicia sessão no teu fornecedor de DNS ou registrador de domínios (por exemplo, Cloudflare, GoDaddy, Namecheap). Vai à página de gestão de DNS para registos TXT. Cria ou atualiza o registo SPF com:
  • Tipo: TXT
  • Anfitrião/Nome: @ (ou o teu domínio, ex.: exemplo.com)
  • Valor: a tua sequência SPF (ex.: v=spf1 include:_spf.google.com ~all)
• Guarda o registo e aguarda pela propagação do DNS. As alterações costumam demorar entre alguns minutos a poucas horas; no entanto, pode demorar até 48 horas. Repete o processo para quaisquer domínios ou subdomínios adicionais que uses para enviar emails. (Certifica-te de que não publicas vários registos SPF para o mesmo domínio. Junta os remetentes num único registo.)

Passo 4: Escolhe entre softfail (~all) e hardfail (-all)

No final de cada registo SPF, vais ver ~all ou -all. Isto controla a forma como os fornecedores de caixa de correio lidam com emails vindos de servidores não autorizados.

Problemas com o SPF no Google Workspace e como resolvê-los

Mesmo com o SPF configurado, as mensagens podem continuar a falhar a autenticação, ser rejeitadas ou ir parar ao spam. Usa os guias abaixo para diagnosticar e resolver problemas de configuração sem repetir a regra do "registo SPF único" mencionada antes. Problemas de SPF por resolver também podem levar a taxas de rejeição de email mais altas e aumentar o risco de hard bounces e soft bounces, o que prejudica a tua reputação de remetente.

Propagação e Cache de DNS

Depois de adicionares ou atualizares o SPF, os resultados não aparecem de imediato. As alterações de DNS podem demorar até 48 horas a propagar-se. Os servidores de email e as ferramentas também podem guardar pesquisas em cache.

O teu novo registo TXT ainda não se propagou ou um servidor destinatário está a usar um resultado de DNS em cache.

Como resolver o problema:

• Aguarda pela propagação do DNS. A maioria das alterações estabiliza em poucas horas, mas podes ter de esperar até 48 horas.
• Reduz o TTL do DNS antes de fazeres alterações importantes para que as atualizações se propaguem mais depressa.
• Testa novamente com várias ferramentas de verificação de DNS para não dependeres de uma única vista em cache. 

Limite de Pesquisas de DNS Excedido

O SPF permite um máximo de 10 pesquisas de DNS. Cada include:, mx, a, exists, ptr ou redirect pode somar a essa contagem, incluindo pesquisas aninhadas dentro do SPF do próprio fornecedor.

Juntar CRMs, plataformas de marketing e gateways faz com que ultrapasses as 10 pesquisas.

Como resolver o problema:

• Conta as pesquisas com a Google Admin Toolbox ou ferramenta semelhante.
• Remove os fornecedores que não usas e os mecanismos duplicados.
• Tem cuidado com as cadeias de include: aninhadas.
• Podes simplificar o teu registo SPF substituindo as diretivas include: aninhadas pelos endereços IP publicados pelo fornecedor, se fizer sentido, mas tem em conta que isto dá mais trabalho de manutenção (os fornecedores podem mudar de IP).

Erros de sintaxe e de ordenação

O SPF é muito rigoroso com a formatação.

Porque é que acontece: Faltam espaços ou aspas, mecanismos mal colocados, falta a tag de versão v=spf1 ou o mecanismo all está no sítio errado. 

Como resolver o problema:

Segue este formato:

v=spf1 [mecanismos] [modificadores] [política]

Exemplo válido:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

• Valida antes de publicares com a Google Admin Toolbox.
• Mantém cada string TXT abaixo dos 255 caracteres. Se o teu fornecedor de DNS impuser este limite, divide o valor do SPF em várias strings entre aspas, conforme as regras do fornecedor.
  
  

Reencaminhamento e listas de distribuição

O SPF verifica o IP do servidor que envia a mensagem. Os servidores de reencaminhamento e de listas de distribuição normalmente não estão autorizados no teu registo SPF, por isso o correio reencaminhado pode falhar o SPF mesmo que o resto esteja correto.

O IP do reencaminhador não está autorizado no teu SPF.

Como resolver o problema:

• Ativa o DKIM para que a assinatura criptográfica sobreviva ao reencaminhamento e permita que as mensagens passem na autenticação, mesmo que o SPF falhe.
• Configura o DMARC para que o DKIM alinhado possa passar mesmo quando o SPF falha após o reencaminhamento.
• Usa a pesquisa de registos de email para confirmar se uma mensagem foi reencaminhada e ver o caminho dos saltos (hops).

Intervalos de IP amplos ou partilhados no SPF

Intervalos grandes na nuvem podem trazer riscos e consultas (lookups) desnecessárias.

Usar intervalos ip4: ou ip6: muito amplos de nuvens partilhadas autoriza mais infraestrutura do que aquela que controlas, e pode continuar a não alinhar-se com os IPs de envio reais.

Como resolver o problema:

• Substitui os intervalos amplos por IPs fixos e atribuídos às tuas instâncias reais.
• Prefere as diretivas include: dos fornecedores quando estes gerem pools estáveis.
• Remove intervalos temporários ou antigos que já não utilizes.

Ler os resultados do SPF nos cabeçalhos das mensagens

Os cabeçalhos dizem-te exatamente como é que um destinatário avaliou o SPF.

Nos cabeçalhos completos, procura por Authentication-Results: e pelo resultado spf=. Depois, age em conformidade.

• Sem entrada SPF: SPF não verificado. Volta a confirmar se o teu registo TXT SPF está publicado corretamente.
• spf= best-guess: SPF em falta ou mal configurado, ou problemas de DNS no fornecedor. Corrige o registo e verifica a saúde do DNS.
• spf= neutral, softfail ou fail: O IP de envio não está no teu registo ou o remetente não está autorizado. Atualiza o teu registo para incluir remetentes legítimos.
• spf= temperror ou permerror: Erros de DNS/SPF temporários ou permanentes. Valida a sintaxe e verifica o estado do DNS do fornecedor.
• Correio reencaminhado a falhar o SPF: Confirma o caminho com a Pesquisa de Registos de Email (Email Log Search) e, depois, recorre ao DKIM e DMARC para o alinhamento.

Como verificar se o teu registo SPF está configurado corretamente

Mesmo que o teu registo SPF pareça correto no DNS, pequenos erros de sintaxe ou problemas de consulta podem fazê-lo falhar silenciosamente e prejudicar a tua chegada à caixa de entrada.

Para teres 100% de certeza, usa o verificador de SPF da MailReach. Ele valida instantaneamente a tua configuração de SPF e destaca qualquer problema de configuração ou de DNS.

Ao contrário da maioria dos testes de SPF gratuitos, a MailReach efetua uma verificação de ponta a ponta, verificando como o teu registo se comporta realmente em condições de envio reais e não apenas a respetiva aparência no DNS.

Para uma verificação completa de deliverability, também podes executar um teste de colocação na caixa de entrada da MailReach. Ele verifica a autenticação SPF, DKIM e DMARC no Gmail, Outlook e outros grandes fornecedores de correio.

Ambas as ferramentas ajudam-te a identificar problemas de autenticação precocemente para poderes proteger a tua reputação de remetente e manteres uma forte entrega na caixa de entrada.

Qual é a abordagem certa?  

O SPF confirma que o teu domínio está autorizado a enviar emails, mas não garante a colocação na caixa de entrada. Os fornecedores de email também avaliam a forma como os destinatários interagem com as tuas mensagens. É por isso que o email warmup é essencial; ajuda a construir os sinais de reputação positivos que o SPF sozinho não consegue fornecer.

O email warmup é especialmente importante quando:

• Estás a enviar a partir de um domínio novo sem reputação.
• A reputação do teu domínio foi danificada por bounces ou reclamações de spam.
• Estás a adicionar novas caixas de entrada à escala e precisas que ganhem confiança antes do outreach.
• Queres manter uma colocação estável na caixa de entrada enquanto usas várias ferramentas ou fornecedores.

O Email Warmup e o AI Warmup da MailReach simulam interações reais em caixas de entrada de confiança, construindo gradualmente o histórico de interações que os fornecedores de email valorizam. Com o teste de colocação na caixa de entrada, podes confirmar que as alterações ao SPF não introduziram novos riscos de deliverability.