Os registros SPF podem conter curingas de nome de domínio?

Parte do meu registro SPF contém:

include:google.com

Ainda estou tendo uma falha leve porque o email real é entregue pelo seguinte

Received: from mail-yx0-f172.google.com (mail-yx0-f172.google.com [209.85.213.172]

Que possui um IP completamente diferente do google.com.br. No entanto, não quero colocar mail-yx0-f172.google.com porque pode ser dinâmico. Existe algum equivalente a * .google.com que eu possa usar no registro

Não, você não pode. Esse não é o registro SPF correto e não é o endereço correto do registro SPF do Google. Qualquer pessoa com o controle de um domínio DNS reverso pode fazer com que qualquer IP tenha o nome que desejar, como "google.com", "whitehouse.gov" etc. etc. Permitir correspondências reversas seria muito errado.

O recurso "incluir" do SPF funciona de maneira diferente. Ele executa uma resolução DNS direta no nome fornecido e processa os registros provenientes dessa resposta. O registro SPF correto para os servidores de e-mail do Google é:

v=spf1 include:_spf.google.com ~all

A correspondência é feita pelo endereço IP dos resultados retornados por uma consulta DNS TXT para _spf.google.com. Se o Google alterar o endereço IP de seus servidores de email, esse registro também deverá ser alterado. A partir de hoje, uma consulta para esse registro retorna:

~% dig + txt curto _spf.google.com
"v = spf1 ip4: 216.239.32.0/19 ip4: 64.233.160.0/19 ip4: 66.249.80.0/20
ip4: 72.14.192.0/18 ip4: 209.85.128.0/17 ip4: 66.102.0.0/20 ip4: 74.125.0.0/16
ip4: 64.18.0.0/20 ip4: 207.126.144.0/20 ip4: 173.194.0.0/16? all "

Observe que o endereço que você está vendo, 209.85.213.172, está incluído acima, em 209.85.128.0/17. Portanto, se o seu registro SPF estiver configurado corretamente, deverá PASSAR.

Mais informações na Ajuda do Google Apps .