De un vistazo. Tipo de registro: TXT en la raíz del dominio · Registros permitidos: Uno por dominio · Límite de consultas: 10 consultas DNS · Empiece con: ~all, endurezca después
La versión corta
- Qué hace un registro SPF. SPF significa Sender Policy Framework.
- La sintaxis, pieza por pieza. Todo registro SPF empieza con v=spf1.
- Paso 1: enumere todos los remitentes. Anote todos los sistemas que envían correo con su dominio: su servicio de envío, su proveedor de buzones, su sitio web o tienda, su CRM, su servicio de atención al cliente y cualquier herramienta de facturación o de RR. HH.
- Paso 2: construya el registro. Empiece con v=spf1, añada un include o ip4 por cada remitente y termine con ~all.
- Paso 3: publíquelo en DNS. Añada un registro TXT en la raíz de su dominio.
- Paso 4: pruébelo. Use una consulta para confirmar que el registro está publicado y se interpreta correctamente; después envíe un mensaje de prueba a un buzón que controle y lea los resultados de autenticación en sus cabeceras.
Qué hace un registro SPF
SPF significa Sender Policy Framework. Es un registro TXT en el DNS de su dominio que indica qué servidores pueden enviar correo usando su dominio. Cuando llega un mensaje, el servidor receptor consulta el registro SPF del dominio remitente y comprueba si la dirección IP de conexión figura en la lista.
SPF comprueba el remitente del sobre, también llamado dirección Return-Path o MAIL FROM, no la dirección From que ven las personas. Esa distinción importa más adelante, cuando lleguemos a la alineación de DMARC.
La sintaxis, pieza por pieza
Todo registro SPF empieza con v=spf1. Después vienen los mecanismos, cada uno con el nombre de una fuente de correo, y el registro termina con un mecanismo all que indica qué hacer con todo lo demás. ip4 e ip6 enumeran direcciones o rangos. include incorpora el registro SPF de otro dominio, que es la forma de autorizar un servicio de envío. a y mx autorizan las direcciones de los servidores web o de correo de su propio dominio.
v=spf1 ip4:203.0.113.10 include:YOUR_SPF_HOST ~allCada mecanismo puede llevar un calificador delante. Un más significa pass y es el valor predeterminado. Un menos significa fail, una tilde significa softfail y un signo de interrogación significa neutral. Así, ~all dice que todo lo que no figura en la lista es sospechoso pero no está prohibido, y -all dice que debe rechazarse.
Paso 1: enumere todos los remitentes
Anote todos los sistemas que envían correo con su dominio: su servicio de envío, su proveedor de buzones, su sitio web o tienda, su CRM, su servicio de atención al cliente y cualquier herramienta de facturación o de RR. HH. SPF tiene que cubrirlos a todos en un único registro, así que una lista incompleta rompe los que olvidó.
Cada proveedor documenta el valor include que debe usar. Para MigoSMTP, copie el valor SPF que aparece en su panel en lugar de adivinarlo.
Paso 2: construya el registro
Empiece con v=spf1, añada un include o ip4 por cada remitente y termine con ~all. Por ejemplo, una empresa que usa un proveedor de buzones y un servicio de envío tendría dos include y un final.
Ponga todo en un único registro TXT. No cree un registro por remitente. Es la causa más común de fallos de SPF y la tratamos más abajo.
Paso 3: publíquelo en DNS
Añada un registro TXT en la raíz de su dominio. En muchos paneles de DNS el host es @ o se deja en blanco. Pegue el valor exactamente como lo construyó, sin comillas adicionales salvo que el panel las pida. Los paneles de registradores indios como GoDaddy, BigRock y Hostinger, y los servicios de DNS como Cloudflare, siguen el mismo patrón.
Si ya existe un registro en la raíz, edítelo en lugar de añadir un segundo. Los cambios pueden tardar de unos minutos a unas horas en propagarse, según el TTL del registro.
Paso 4: pruébelo
Use una consulta para confirmar que el registro está publicado y se interpreta correctamente; después envíe un mensaje de prueba a un buzón que controle y lea los resultados de autenticación en sus cabeceras. Busque spf=pass. Nuestro verificador gratuito muestra sus registros SPF, DKIM y DMARC en un solo lugar y señala los errores comunes.
Pruebe desde todos los sistemas que envían, no solo desde uno. Un resultado correcto de su servicio de envío no dice nada sobre la herramienta de facturación.
Error 1: más de un registro SPF
Un dominio debe publicar exactamente un registro SPF. Dos registros hacen que SPF devuelva un error permanente, y los receptores lo tratan como un fallo. Si distintos equipos añadieron cada uno el suyo, combínelos en un solo registro que contenga todos los include.
Es fácil provocarlo al añadir una herramienta nueva cuyas instrucciones dicen que cree un nuevo registro TXT. Lea primero lo que ya existe.
Error 2: demasiadas consultas DNS
SPF permite como máximo diez consultas DNS al evaluar un registro. Cuenta cada include, a, mx y mecanismo similar, y también cuentan los include anidados. ip4 e ip6 no cuentan. Si supera diez, SPF devuelve un error permanente, de modo que la comprobación falla aunque cada parte pareciera correcta.
Elimine los remitentes que ya no use, sustituya los mecanismos a y mx por rangos ip4 explícitos cuando las direcciones sean estables y evite apilar muchos include. Algunos servicios ofrecen aplanamiento de SPF, que sustituye los include por direcciones. Funciona, pero las direcciones cambian con el tiempo, por lo que hay que mantenerlo actualizado.
Error 3: elegir -all demasiado pronto
Un fallo estricto con -all indica a los receptores que rechacen todo lo que no figure en la lista. Si a su lista le falta un remitente, el correo de ese remitente se rechaza. La mayoría de los equipos empiezan con ~all, vigilan sus informes DMARC durante unas semanas y solo endurecen cuando están seguros de que todos los remitentes figuran en la lista.
Elija lo que elija, SPF por sí solo no decide la ubicación en la bandeja de entrada. Es una señal más que funciona junto con DKIM y DMARC.
Por qué SPF falla en el correo reenviado
Cuando alguien reenvía su mensaje, este sale del servidor de quien reenvía, que no está en su registro, por lo que SPF falla en el destino final. Eso es normal y no es un error de su parte.
Por eso importa DKIM. Una firma DKIM suele sobrevivir al reenvío, y DMARC pasa si SPF o DKIM pasan y se alinean. Configure ambos.
Lecturas adicionales y fuentes
- RFC 7208: Sender Policy Framework (SPF)
- Google Workspace: Define your SPF record
- Microsoft: Set up SPF to help prevent spoofing
Hágalo en MigoSMTP: artículos del centro de ayuda
- Solucione el permerror de SPF y el límite de 10 consultas
- Verifique su dominio de envío: registros DNS y propagación
- Autentique un dominio de envío en MigoSMTP: SPF, DKIM y DMARC
Guías y herramientas relacionadas
- Verificador de registros SPF: Consulte un registro y cuente sus consultas DNS.
- Generador de registros SPF: Cree un registro a partir de sus remitentes.
- Configuración de DKIM, SPF y DMARC: Autentique su dominio de principio a fin.
¿No está seguro de que sus registros sean correctos? Ejecute nuestro verificador gratuito o envíenos una cabecera y le ayudaremos a interpretarla.
Preguntas frecuentes
¿Qué es un registro SPF?
Un registro SPF es un registro TXT de DNS que enumera los servidores autorizados a enviar correo en nombre de su dominio. Los receptores lo comparan con la dirección IP de conexión cuando llega un mensaje.
¿Cuántos registros SPF puede tener un dominio?
Uno. Dos registros SPF provocan un error permanente. Reúna todos sus remitentes en un único registro.
¿Qué es el límite de 10 consultas de SPF?
La evaluación de SPF puede provocar como máximo diez consultas DNS. Cuenta cada mecanismo include, a y mx, incluidos los anidados. Superar el límite causa un error permanente.
¿Debo usar ~all o -all?
La mayoría de los equipos empiezan con ~all mientras confirman que todos los remitentes figuran en el registro y consideran -all cuando están seguros. DMARC con DKIM ofrece protección adicional en ambos casos.