Verificador de Comprimento SPF

O SPF Record Length Checker valida seu registro SPF contra os dois limites críticos definidos em RFC 7208: o limite de string TXT de 255 caracteres e o limite de 10 DNS lookups. Cole um registro como v=spf1 include:_spf.google.com include:spf.protection.outlook.com -all e veja instantaneamente a contagem de caracteres, breakdown de lookup e se você está dentro de limiares seguros.

Entendendo Limites de SPF

Registros SPF têm dois limites rígidos que, quando excedidos, causa falha de autenticação de email silenciosamente. A parte frustrante é que você pode publicar um registro SPF que parece perfeitamente válido, adicionar um include a mais para uma nova plataforma de marketing e de repente seu email legítimo começa a falhar autenticação -- sem nenhuma mensagem de erro óbvia em sua caixa de entrada. As falhas só aparecem em relatórios agregados DMARC ou quando receptores reclamam que suas mensagens caem em spam.

O primeiro limite é o cap de 10 lookups DNS. Toda vez que avaliação SPF encontra um mecanismo que requer uma consulta DNS -- include, a, mx, ptr, exists ou redirect -- ele conta contra esse limite. O detalhe crítico que pega a maioria dos administradores é que a contagem é cumulativa entre registros aninhados. Quando você escreve include:_spf.google.com, isso é 1 lookup para o include em si, mas o registro SPF do Google contém 3 includes adicionais, adicionando 3 mais lookups. Uma linha em seu registro custa você 4 lookups de seus 10. Adicione um par de serviços a mais e você está acima do limite antes de saber.

O segundo limite é o limite da string de 255 caracteres para registros DNS TXT. Isso é menos comum de ser atingido porque a maioria dos provedores DNS lidam com divisão de string automaticamente, mas pode causar problemas com certos provedores ou ao editar manualmente arquivos de zona. Uma chave DKIM de 2048 bits na mesma zona já pressiona esse limite, então registros SPF complexos com muitos intervalos de IP podem facilmente excedê-lo. Este verificador valida ambas as restrições e mostra exatamente onde você está.

Como Verificar Comprimento do Registro SPF e Contagem de Lookup

1. Cole seu registro SPF completo começando com v=spf1
2. O verificador conta caracteres totais e identifica se formatação de múltiplas strings é necessária
3. Cada mecanismo que consulta DNS é contado: include, a, mx, ptr, exists, redirect
4. Mecanismos baseados em IP (ip4, ip6) são identificados como não-contáveis
5. Revise o breakdown mostrando quais mecanismos consomem lookups DNS
6. Resolva qualquer aviso sobre limiares excedidos ou próximos do limite

Exemplos de Contagem de Lookup SPF

Mecanismos que Contam como Lookups DNS

include:  -> 1 lookup (mais lookups aninhados do registro incluído)
a         -> 1 lookup
mx        -> 1 lookup
ptr       -> 1 lookup (descontinuado, evite usar)
exists:   -> 1 lookup
redirect= -> 1 lookup

Mecanismos que NÃO Contam

ip4:203.0.113.0/24  -> 0 lookups
ip6:2001:db8::/32   -> 0 lookups
all                 -> 0 lookups

Quando Usar o SPF Length Checker

• Depois de adicionar um novo serviço de email para verificar se você não excedeu o limite de 10 lookups
• Debugging de erros "muitos DNS lookups" em relatórios de autenticação de email (relatórios agregados DMARC)
• Herdar uma configuração SPF complexa de um administrador anterior para auditar estado atual
• Antes de implantar mudanças SPF em produção para prevenir falhas de entrega não intencionais
• Otimizar registros SPF identificando quais includes contribuem com mais lookups aninhados
• Durante rollout DMARC para garantir que SPF está saudável antes de apertar sua política DMARC

Como Limites de Lookup SPF Funcionam

A Regra de 10 Lookups

RFC 7208 limita avaliação SPF a 10 mecanismos DNS para prevenir ataques de negação de serviço através de consultas DNS recursivas. Quando o limite é excedido, a verificação SPF retorna um erro permanente (permerror), que a maioria dos servidores receptores interpreta como uma falha SPF.

Lookups Aninhados São Cumulativos

O limite de 10 lookups inclui todos os lookups aninhados. Considere essa cadeia:

Seu registro:     v=spf1 include:_spf.google.com include:spf.example.com -all
                 -> 2 lookups diretos

_spf.google.com: v=spf1 include:_netblocks.google.com include:_netblocks2.google.com include:_netblocks3.google.com ~all
                 -> 3 mais lookups

Total:           2 + 3 = 5 lookups (antes de resolver spf.example.com)

Cada include no registro do Google conta contra o total de seu domínio. Se spf.example.com adiciona 6 mais lookups, você alcançaria 11 e desencadearia um permerror.

Custos de Lookup Típicos por Serviço

Essas contagens podem mudar quando provedores atualizam sua infraestrutura. Sempre verifique contagens atuais com este verificador.

O Limite de String de 255 Caracteres

Registros DNS TXT armazenam dados em strings de até 255 caracteres cada. Um único registro TXT pode conter múltiplas strings que são concatenadas durante recuperação. Se seu registro SPF exceder 255 caracteres, deve ser dividido:

"v=spf1 ip4:192.0.2.0/24 ip4:198.51.100.0/24 "
"include:_spf.google.com include:spf.protection.outlook.com -all"

A maioria dos provedores DNS lida com essa divisão automaticamente, mas alguns requerem formatação manual.

Como Reduzir Contagem de Lookup SPF

Quando você está no ou perto do limite de 10 lookups, há várias estratégias para trazer a contagem para baixo. A abordagem mais efetiva é aplainamento SPF, onde você substitui mecanismos include pelos endereços ip4 e ip6 que eles resolvem. Por exemplo, se include:mail.example.com resolve para um único IP, você pode substituir por ip4:203.0.113.5, economizando um lookup. O inconveniente é que se o provedor mudar seus endereços IP, seu registro fica desatualizado e email legítimo falhará SPF. Serviços de aplainamento automático resolvem isso verificando periodicamente e atualizando seu registro.

Outra otimização comum é remover mecanismos que você não precisa mais. Ao longo do tempo, organizações acumulam includes para serviços que pararam de usar -- uma plataforma de marketing anterior, um helpdesk descomissionado, um provedor de email transacional legado. Audite seus includes contra os serviços que realmente enviam email hoje e remova qualquer um que não esteja mais ativo. Você também deve remover mecanismos ptr, que são descontinuados por RFC 7208, não confiáveis e desperdiçam um lookup.

• Substituir include por ip4/ip6: Aplainar domínios incluídos para seus intervalos IP reais (requer manutenção quando provedores mudam IPs)
• Remover serviços não utilizados: Auditar quais serviços ainda enviam email ativamente para seu domínio
• Remover mecanismos ptr: Eles são descontinuados por RFC 7208 e desperdiçam um lookup
• Usar serviços de aplainamento de registro SPF: Ferramentas automáticas que resolvem includes para IPs e os mantêm atualizados
• Remover a e mx redundantes: Se esses IPs já estão cobertos por mecanismos ip4
• Usar um domínio de política SPF dedicado: Mover lógica SPF complexa para um subdomínio usando redirect=

Perguntas Frequentes

O que acontece quando você excede o limite de 10 DNS lookups?

A verificação SPF retorna um erro permanente (permerror). A maioria dos servidores de mail receptores trata isso como uma falha SPF. Combinado com uma política DMARC rígida, isso pode fazer com que emails legítimos sejam colocados em quarentena ou rejeitados inteiramente. O aspecto perigoso é que não há erro imediato que você verá -- a falha só aparece em relatórios DMARC ou quando receptores dizem que seu mail está caindo em spam.

Os mecanismos ip4 e ip6 contam contra o limite de lookup?

Não. Apenas mecanismos que requerem uma consulta DNS contam: include, a, mx, ptr, exists e redirect. Mecanismos de endereço IP literal (ip4, ip6) são avaliados localmente e consomem zero lookups. É por isso que aplainar includes para endereços IP é uma otimização efetiva.

Como sei quantos lookups Google Workspace ou Microsoft 365 usa?

Google's _spf.google.com atualmente resolve para 3 includes aninhados, consumindo 4 lookups totais (1 para o include em si mais 3 aninhados). Microsoft's spf.protection.outlook.com tipicamente usa 2 lookups totais. Essas contagens podem mudar quando provedores atualizam sua infraestrutura, então verifique periodicamente com essa ferramenta.

Posso ter mais de 10 lookups se dividir entre subdomínios?

Cada registro SPF de domínio recebe seu próprio limite de 10 lookups. Se seu domínio principal está no limite, você não pode aumentá-lo dividindo. Porém, se diferentes subdomínios enviam email independentemente, cada SPF de subdomínio é avaliado separadamente contra seu próprio limite. O mecanismo redirect= pode apontar para um domínio de política dedicado, mas os lookups do registro redirecionado ainda contam contra o limite de 10 lookups da avaliação original.

Por que meu registro SPF funciona para alguns receptores mas não para outros?

Diferentes servidores receptores podem lidar o limite de lookup diferentemente. Alguns servidores param exatamente em 10 lookups, enquanto outros podem permitir 11 ou 12 antes de retornar um permerror. Se seu registro está no limite, pode passar em alguns servidores e falhar em outros, levando a entrega inconsistente.

Ferramentas Relacionadas

• SPF Record Builder - Construir registros SPF com sintaxe apropriada
• DKIM TXT Record Formatter - Formatar registros DKIM com aspas apropriadas
• DMARC Record Builder - Construir registros DMARC com todas as tags de política
• DNS Record Set Deduper - Encontre e remova registros DNS duplicados
• Zone File Linter - Verifique arquivos de zona para erros de sintaxe e duplicatas