Um registro SPF terminando em ~all é um softfail: o e-mail de servidores não listados ainda é entregue, apenas marcado como suspeito. É um padrão seguro enquanto você constrói seu registro, mas o estado final mais forte é -all (hardfail), que diz aos receptores para rejeitar diretamente os remetentes não autorizados.
O último mecanismo de um registro SPF decide o que acontece com remetentes não listados. ~all (softfail) = aceitar mas marcar. -all (hardfail) = rejeitar. ?all (neutro) e +all (aceitar tudo) praticamente não oferecem proteção e nunca devem ser usados em produção.
Ir direto para -all antes de listar cada remetente legítimo fará e-mails reais quicarem. ~all permite publicar um registro funcional e observar seus relatórios agregados DMARC para confirmar que nada legítimo falha antes de endurecer.
Aplique DMARC junto com SPF: o DMARC com p=reject é o que realmente bloqueia a falsificação e funciona mesmo mantendo ~all. Quando seus relatórios mostrarem que todos os remetentes reais passam no SPF e se alinham, troque ~all por -all para defesa em profundidade.
Observe o último mecanismo em seu registro:
$ dig TXT yourdomain.com +shortVerifique seu registro SPF agora
Abrir o verificador SPF gratuito →Não, é uma configuração razoável e comum. Apenas não é a mais forte. Com DMARC em p=reject, ~all ainda fica bem protegido; -all adiciona uma segunda camada.
Não totalmente. O SPF quebra no encaminhamento e só verifica o remetente do envelope. O DMARC amarra a autenticação ao endereço De: visível e aplica uma política.
