Ejemplos de registros SPF para Google Workspace, Microsoft 365 y su servicio de envío

La versión corta

1. Un registro, varios remitentes. Si el correo de su personal funciona con un proveedor y el correo de su aplicación sale a través de un servicio de envío, ambos deben estar autorizados en el mismo registro SPF.
2. Solo Google Workspace. Google documenta include:_spf.google.com para Workspace.
3. Solo Microsoft 365. Microsoft documenta include:spf.protection.outlook.com para Exchange Online.
4. Google Workspace más un servicio de envío. Añada el include del servicio de envío junto al de Google.
5. Microsoft 365 más un servicio de envío. Se aplica la misma idea.
6. Añadir su propio servidor por dirección IP. Si gestiona un servidor que envía correo, como una aplicación web o un servidor de correo antiguo, indique su dirección con ip4.

Un registro, varios remitentes

Si el correo de su personal funciona con un proveedor y el correo de su aplicación sale a través de un servicio de envío, ambos deben estar autorizados en el mismo registro SPF. Cada uno añade un include, y usted mantiene un único v=spf1 al principio y un único all al final.

Los ejemplos siguientes usan los valores include publicados por Google y Microsoft. Los proveedores los cambian de vez en cuando, así que confírmelos en su documentación actual antes de publicar.

Solo Google Workspace

Google documenta include:_spf.google.com para Workspace. Un dominio que envía únicamente a través de Google publicaría este registro.

v=spf1 include:_spf.google.com ~all

Este es también el punto de partida correcto si usa Gmail con su propio dominio.

Solo Microsoft 365

Microsoft documenta include:spf.protection.outlook.com para Exchange Online. Un dominio que envía únicamente a través de Microsoft 365 publicaría esto.

v=spf1 include:spf.protection.outlook.com ~all

Si usa ambos proveedores durante una migración, combínelos como se muestra más abajo y elimine el antiguo cuando termine el cambio.

Google Workspace más un servicio de envío

Añada el include del servicio de envío junto al de Google. Mantenga un solo registro, con ambos include antes del final.

v=spf1 include:_spf.google.com include:YOUR_SPF_HOST ~all

Sustituya YOUR_SPF_HOST por el valor de su panel de MigoSMTP, o por el valor del servicio que utilice.

Microsoft 365 más un servicio de envío

Se aplica la misma idea. Dos include, un registro.

v=spf1 include:spf.protection.outlook.com include:YOUR_SPF_HOST ~all

Autentique también el servicio de envío con DKIM, para que DMARC pueda pasar gracias a la firma DKIM cuando SPF no se alinee.

Añadir su propio servidor por dirección IP

Si gestiona un servidor que envía correo, como una aplicación web o un servidor de correo antiguo, indique su dirección con ip4. Puede añadir un rango en formato CIDR.

v=spf1 include:_spf.google.com ip4:203.0.113.10 include:YOUR_SPF_HOST ~all

Use solo direcciones que controle y elimínelas cuando el servidor se retire.

Otros proveedores de buzones

Otros proveedores, como Zoho, publican sus propios valores include, y algunos tienen valores distintos para distintos centros de datos. Copie siempre el valor de la página de ayuda del propio proveedor para su región, no de una entrada de blog.

El patrón no cambia: un registro, un include por remitente, un final.

Compruebe su número de consultas

Cada include cuenta como una consulta, y el include de un proveedor puede contener a su vez más include. Los registros de Google y de Microsoft usan internamente varias consultas cada uno, por lo que combinarlos con unos pocos servicios puede alcanzar el límite de diez más rápido de lo que espera.

Nuestro verificador gratuito y la mayoría de las herramientas de prueba de SPF cuentan las consultas por usted. Si está cerca del límite, elimine los remitentes que ya no use y considere enviar distintos tipos de correo desde distintos subdominios, cada uno con su propio registro.

Enviar desde un subdominio

Muchos equipos envían correo de marketing o transaccional desde un subdominio como mail.yourdomain.com. El subdominio tiene su propio registro SPF, independiente del dominio raíz, lo que mantiene cada registro corto y la raíz limpia.

Recuerde que DMARC también se aplica a los subdominios, así que compruebe la alineación del correo del subdominio.

Consultar un registro desde la línea de comandos

Puede leer el registro SPF de cualquier dominio con una consulta DNS. En Linux y macOS use dig, y en Windows use nslookup. Ambos muestran los registros TXT de la raíz, y el de SPF empieza por v=spf1.

dig +short TXT yourdomain.com

Si ve dos registros que empiezan por v=spf1, combínelos. Si no ve ninguno, publique uno. Repita la consulta tras cada cambio, porque su panel de DNS puede mostrar un valor que aún no se ha propagado.

Un recuento de consultas de ejemplo

Suponga que un registro contiene include:_spf.google.com, include:YOUR_SPF_HOST e ip4:203.0.113.10. El ip4 no cuesta nada. Cada include cuesta una consulta, más las consultas que haya dentro del propio registro de ese proveedor. Un proveedor cuyo registro contiene tres include adicionales cuesta, por tanto, cuatro en total.

Sume los totales de cada include. Si llega a diez o menos, está bien. Si supera diez, SPF falla para todos, así que recorte remitentes o mueva parte del correo a un subdominio antes de publicar.

Cambiar de proveedor sin interrupciones

Cuando pase de un servicio de envío a otro, mantenga el include antiguo en el registro mientras añade el nuevo, envíe una pequeña parte por el nuevo servicio y elimine el include antiguo solo cuando el servicio anterior ya no envíe nada.

Quitarlo demasiado pronto hace que cualquier mensaje que aún salga por el servicio antiguo falle en SPF. Nuestras guías de migración cubren el mismo enfoque de solapamiento para DNS, claves y plantillas.

Cuando SPF no es suficiente

SPF solo comprueba el remitente del sobre y falla con el reenvío, por lo que los receptores también miran DKIM y DMARC. Un registro que pasa SPF pero no tiene firma DKIM ni registro DMARC solo está autenticado parcialmente.

Configure los tres. Nuestra guía de DMARC muestra cómo publicar un registro con seguridad y leer los informes.

Lecturas adicionales y fuentes

• RFC 7208: Sender Policy Framework (SPF)
• Google Workspace: Define your SPF record
• Microsoft: Set up SPF to help prevent spoofing

Hágalo en MigoSMTP: artículos del centro de ayuda

• Solucione el permerror de SPF y el límite de 10 consultas
• Autentique un dominio de envío en MigoSMTP: SPF, DKIM y DMARC
• Verifique su dominio de envío: registros DNS y propagación

Guías y herramientas relacionadas

• Verificador de registros SPF: Consulte un registro y cuente sus consultas DNS.
• Generador de registros SPF: Cree un registro a partir de sus remitentes.
• Cómo configurar DMARC: Empiece con p=none y avance a reject con seguridad.