Um domínio pode ter dois registos SPF? Não — um milhão de domínios acabou de anular o seu próprio (2026)

Q: São permitidos vários registos SPF?

Não. O RFC 7208 permite exatamente um registo v=spf1 por domínio; dois ou mais causam um erro permanente que anula o SPF por completo. 1.013.416 domínios estão neste estado a partir de 2026-06-29.

Q: Como combino dois registos SPF num só?

Um registo, começado por v=spf1, contendo todos os mecanismos include: e de IP de todos eles, terminando num único -all ou ~all. Apague os extras e depois verifique se a sua contagem de consultas sobreviveu à fusão.

Publicado 2026-07-03

Números de 2026-06-29 · metodologia v7. Censo agregado de 261 milhões de domínios classificados. Todos os números são agregados — nunca o registo de uma empresa individual. Veja como classificamos.

Não — um domínio pode publicar exatamente um registo SPF, e errar isto desliga o SPF por completo: 1.013.416 domínios publicam atualmente dois ou mais, o que, ao abrigo do RFC 7208, torna inválidos todos os registos SPF de um domínio. Nem o mais recente, nem o mais antigo — todos eles. Um recetor que encontre vários registos v=spf1 tem de devolver um erro permanente, o que significa nenhuma proteção SPF de todo, num domínio que, aos olhos do seu proprietário, parece ter o dobro da proteção.

Porque é que dois registos SPF equivalem a zero?

O padrão é categórico: a política SPF de um domínio tem de ser um único registo TXT começado por v=spf1 (RFC 7208 §3.2; o resultado de erro está prescrito no §4.5). Se uma consulta encontrar mais do que um, o recetor não consegue saber qual é o autoritativo — por isso o padrão proíbe adivinhar. Os recetores conformes ao padrão têm de devolver PermError: a avaliação falha permanentemente.

E um PermError não é neutro. O DMARC trata-o como uma falha na vertente SPF — por isso um domínio que duplicou o seu registo anulou a sua proteção e prejudicou a autenticação do seu próprio correio legítimo. É um dos pouquíssimos erros de DNS em que adicionar proteção a remove (publicar dois registos DMARC faz o mesmo ao DMARC).

Aproximadamente 1 em cada 138 domínios que tentam usar SPF fez isto a si próprio.

Como é que acontece? O copiar-colar do onboarding

Quase ninguém escreve um segundo registo SPF de propósito. Acontece no dia em que adiciona uma ferramenta de e-mail:

O seu domínio já tem v=spf1 include:spf.protection.outlook.com -all do seu fornecedor de caixa de correio.
Regista-se numa plataforma de newsletter, CRM ou ferramenta de faturação.
O guia de configuração diz: “Adicione este registo TXT ao seu DNS: v=spf1 include:newtool.example.com ~all.”
Faz exatamente o que diz — adiciona-o, ao lado do antigo.

Existem agora dois registos, e ambos estão anulados. O guia dizia “adicione”, e adicionar é a única coisa que o padrão não permite; a jogada correta — fundir o novo include: no registo existente — quase nenhum fluxo de onboarding menciona.

A falha é invisível a partir do painel de DNS: ambos os registos parecem individualmente bem formados, e o correio na maior parte das vezes continua a chegar porque os recetores recorrem a outros sinais. Nada o alerta até que uma falsificação seja entregue ou a entregabilidade se degrade.

Como verificar e corrigir — dois minutos, gratuito

Consulte os registos TXT do seu domínio (dig TXT yourdomain.com, ou use a nossa verificação gratuita).
Conte os registos que começam por v=spf1. O único número seguro é 1.
Se tiver mais: funda-os — cada mecanismo include: e ip4:/ip6: num único registo com um só qualificador terminal (veja ~all vs -all) — e apague os restantes.

Antes:   v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

Depois:  v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

À medida que funde, fique atento ao limite de 10 consultas — demasiados mecanismos include: estragam o SPF de outra forma.

Perguntas frequentes

São permitidos vários registos SPF? Não. O RFC 7208 permite exatamente um registo v=spf1 por domínio; dois ou mais causam um erro permanente que anula o SPF por completo. 1.013.416 domínios estão neste estado a partir de 2026-06-29.

O segundo registo SPF sobrepõe-se ao primeiro? Nenhum vence. Um recetor que encontre vários registos tem de falhar a avaliação em vez de escolher — por isso todos deixam de funcionar de uma só vez.

Como combino dois registos SPF num só? Um registo, começado por v=spf1, contendo todos os mecanismos include: e de IP de todos eles, terminando num único -all ou ~all. Apague os extras e depois verifique se a sua contagem de consultas sobreviveu à fusão.

Porque é que o meu e-mail continua a funcionar com dois registos SPF? Os recetores que atingem o erro geralmente prosseguem sem SPF, por isso o seu correio depende da reputação e do DKIM. O que perdeu foi proteção — nada rejeita um falsificador — e as suas avaliações DMARC perdem a vertente SPF. Correio que funciona e SPF que funciona são coisas diferentes.

Verifique se o seu domínio é um do milhão

Um olhar de 30 segundos ou o iliba ou lhe entrega uma fusão de dois minutos.

Verifique o seu domínio → · Corrija o SPF → · O relatório de PermError do SPF → · O modelo de maturidade do SPF → · Apenas dados agregados. Dados armazenados e processados na UE.