O SendGrid se autentica melhor com autenticação de domínio (CNAME), não com um include SPF simples. No SendGrid, configure a autenticação de remetente para o seu domínio e publique os registros CNAME gerados (para o return-path e os seletores DKIM s1/s2). Isso dá SPF e DKIM alinhados para o e-mail passar no DMARC.
A autenticação de remetente do SendGrid publica um return-path com sua marca e DKIM sob o seu próprio domínio, que é o que o alinhamento DMARC precisa. O antigo include:sendgrid.net sozinho autentica o domínio do SendGrid, não o seu, então o SPF pode passar enquanto o DMARC falha.
No SendGrid: Settings → Sender Authentication → Authenticate Your Domain. Adicione os 3+ registros CNAME (ex.: em1234, s1._domainkey, s2._domainkey) ao seu DNS e clique em Verify.
Após a publicação:
$ dig CNAME s1._domainkey.yourdomain.com +shortVerifique seu registro SPF agora
Abrir o verificador SPF gratuito →Se você usa a autenticação de domínio do SendGrid (recomendado), não adiciona o include compartilhado: o return-path CNAME cuida do SPF alinhado.
Para poder rotacionar chaves sem você editar o DNS: o CNAME aponta para registros gerenciados pelo SendGrid.
