Defaults.Exposed › Relatórios

O Modelo de Maturidade de Adoção do SPF (SPFAMM): As 6 Fases do SPF (2026)

Publicado 2026-07-03

Números de 2026-06-29 · metodologia v7. Um modelo de referência sustentado por um censo recorrente de 261 milhões de domínios avaliados; cada edição volta a medir a mesma população para que os números possam ser acompanhados ao longo do tempo. Todos os números são agregados — nunca publicamos o registo de uma empresa individual.

Em que fase está a internet?

Fase 2,4 de 6. Medido em 261 milhões de domínios, o domínio médio ainda não chegou a uma barreira SPF funcional — e a internet no seu conjunto pontua 29 em 100 na força do SPF. Publicar SPF é o ato de segurança de email mais comum que existe (53,21% dos domínios fazem-no), mas a maioria desses registos fica-se por uma configuração que pede aos recetores que entreguem falsificações mesmo assim.

O problema não é a adoção — é que a maioria das orientações de maturidade para em “publicámos o SPF”, como se o próprio registo fosse a conquista. Um registo SPF pode autorizar a internet inteira, não exprimir opinião nenhuma, anular-se silenciosamente a si próprio, ou ficar em softfail para sempre porque apertá-lo dá trabalho que ninguém agendou. Um modelo útil dá nome a cada um desses estados. Este dá: o Modelo de Maturidade de Adoção do SPF — SPFAMM, seis fases, um passo cada, e um nome que pode citar. É o companheiro SPF d’as seis fases da maturidade do DMARC.

Quais são as seis fases da maturidade do SPF?

Cada um dos 261 milhões de domínios avaliados está exatamente numa das fases 1 a 5, e essas cinco populações somam com precisão o total do censo; a fase 6 é o subconjunto reforçado contado dentro da fase 5. É isso que faz do SPFAMM uma medição e não um cartaz.

(A fase 6 é o subconjunto reforçado dos domínios alinhados da fase 5, por isso as fases 1 a 5 particionam o censo e a fase 6 fica dentro da fase 5.)

Fase 1 — Desprotegido. Nenhum registo v=spf1. Nenhum recetor verifica nada; falsificar o domínio no plano do SPF é fácil. O passo: publicar um registo v=spf1 que liste os seus remetentes reais, terminando num qualificador de falha.

Fase 2 — Permissivo ou quebrado. Existe um registo mas não protege nada. Esta fase reúne os finais sem dentes — ?all neutro (3,0% dos publicadores) e o tapete de boas-vindas +all — junto com os registos quebrados: múltiplos registos v=spf1, que a norma anula por completo, e registos fragmentários sem um final utilizável. Uma exceção: cerca de 2,1 milhões de registos terminam em redirect=, o que é delegação válida — a sua política real vive no destino, e só os contamos aqui porque o seu próprio registo não traz veredito. O passo: um registo, um final real — ~all ou -all.

Fase 3 — Cercado com barreira fraca. O registo termina em ~all (softfail) sem nada que imponha por trás — 70,4 milhões de domínios, a maior população de qualquer fase com SPF publicado. O softfail é uma barreira real com o portão destrancado: diz aos recetores “mail de outro lado é provavelmente falso” e pede-lhes que o entreguem à mesma. O passo: subir o muro — contabilizar cada remetente, depois seguir por qualquer uma das rotas para cima (abaixo).

Fase 4 — Estrito. O registo termina em -all: 42,5 milhões de domínios que publicam um “rejeitar todos os outros” categórico, ainda sem imposição de DMARC por trás. Uma ressalva honesta que a nossa própria medição agora quantifica: um registo -all que excede o limite de 10 pesquisas é nulo por mais estrito que pareça — pelo menos 112.215 dos registos -all da internet estão nesse estado. O passo: colocar uma política DMARC com imposição por trás do registo, para que as falhas tenham consequências em todo o lado.

Fase 5 — Alinhado. O SPF — fraco ou estrito — assenta por trás de um DMARC p=quarantine ou p=reject. Esta é a fase em que a falsificação do seu domínio exato é de facto travada em todos os principais fornecedores de correio: 19,3 milhões de domínios, dos quais 7,1 milhões combinam ~all com imposição (o padrão que as diretrizes de remetentes da Google recomendam) e 12,1 milhões combinam -all com imposição. O passo: acrescentar DKIM e continuar a vigiar — os registos apodrecem.

Fase 6 — Reforçado. SPF mais DKIM mais um DMARC com imposição — o conjunto totalmente protegido, 10.092.481 domínios, 3,87% da internet — mais a disciplina de monitorizar a deriva: as cadeias include: mudam, os fornecedores trocam de IP, alguém liga uma ferramenta nova que envia em seu nome. O passo: ficar aqui. É uma prática, não um crachá.

A faixa sem correio. Um domínio que não envia correio pode saltar para o topo numa única edição: SPF -all mais DMARC p=reject. Não haver nada legítimo a proteger significa não haver muro a subir — e fecha um dos vetores de personificação mais comuns que existem.

Porque é que a Fase 3 é onde a internet estagna?

Porque quase todos os outros passos são uma pequena edição de DNS, e o passo para sair da Fase 3 é trabalho: enumerar cada sistema que legitimamente envia em seu nome — fornecedor de correio, plataforma de newsletter, CRM, ferramenta de faturação, aquilo que o marketing subscreveu na primavera passada — e encaixá-los num único registo sem estourar o orçamento de 10 pesquisas. É esse o muro. ~all é o último degrau alcançável sem o fazer, e é por isso que 70,4 milhões de domínios descansam ali.

Do topo do muro há duas rotas para cima, e ambas chegam à Fase 5:

• Reforçar para -all (passando pela Fase 4) — um não firme no próprio registo. Veja ~all vs -all para quando esta é a escolha certa.
• Manter ~all e impor com DMARC p=reject — a rota que as diretrizes da Google e a maior parte da prática de entregabilidade agora recomendam, porque protege de igual forma nos recetores que avaliam DMARC sem rejeitar correio reencaminhado.

O censo mostra com que raridade qualquer das rotas se conclui: dos 77,5 milhões de registos softfail, apenas 7,1 milhões — cerca de 1 em 11 — têm imposição por trás.

Como é calculada a Pontuação de Força do SPF?

De forma simples, e mantemos os pesos constantes para que a pontuação seja comparável de mês para mês: crédito total para domínios onde algo impõe (fases 5 a 6), meio crédito para uma barreira real que ninguém faz cumprir (fases 3 a 4), nada para registos ausentes, permissivos ou quebrados. Nessa escala a internet pontua 29/100 em 2026-06-29. Quase metade da população contribui com zero porque não publica absolutamente nada.

Como descubro a fase do meu domínio?

As fases 1 a 4 leem-se diretamente do seu registo DNS; a fase 5 acrescenta a sua política DMARC; a fase 6 acrescenta o DKIM. A única coisa que uma vista de olhos não lhe consegue dizer é se um registo estrito está secretamente acima do limite de pesquisas — isso exige resolver a cadeia, o que o nosso verificador faz por si.

Perguntas frequentes

O que é o SPFAMM? O Modelo de Maturidade de Adoção do SPF — o modelo de seis fases desta página: Desprotegido, Permissivo/quebrado, Cercado com barreira fraca, Estrito, Alinhado, Reforçado. A fase de cada domínio é calculável a partir do seu DNS: as fases 1 a 5 particionam com exatidão o censo de 261 milhões de domínios, e a fase 6 é o subconjunto reforçado dentro da fase 5.

Em que fase está a maioria dos domínios? Fase 1 — 46,4% dos domínios não publicam SPF nenhum. Entre os domínios que publicam, a Fase 3 (softfail sem imposição) é o local de repouso mais comum, com 70,4 milhões de domínios. A média ponderada pela população é a fase 2,4.

O softfail ~all é suficientemente bom? Só com uma política DMARC com imposição por trás — essa combinação é a Fase 5 e o padrão que as diretrizes de remetentes da Google recomendam. Por si só é a Fase 3: barreira real, portão destrancado. A comparação completa está em ~all vs -all.

Tenho de chegar a -all para estar seguro? Não. A Fase 4 é uma de duas rotas, não um requisito — manter ~all e impor com DMARC p=reject chega à mesma proteção nos recetores que avaliam DMARC. O que é exigido é o muro: conhecer cada remetente antes de qualquer coisa impor.

Quantos domínios completam as seis fases? 10.092.481 — 3,87% da internet — têm SPF, DKIM e uma política DMARC com imposição em conjunto. Cada transição de fase é gratuita; os detalhes estão em os poucos protegidos.

Verifique onde o seu domínio se encontra

O seu domínio está exatamente numa destas seis fases, e o próximo passo é conhecível em 30 segundos — grátis, e cada correção ao longo da escada é uma alteração de DNS, não uma compra.

Verifique o seu domínio → · Corrigir o SPF → · ~all vs -all → · O relatório de SPF PermError → · As 6 fases da maturidade do DMARC → · Apenas dados agregados. Dados armazenados e processados na UE.