De un vistazo. Tipo de registro: TXT, uno por dominio · Empieza con: v=spf1 · Lectura: De izquierda a derecha, gana la primera coincidencia · Límite de consultas: 10 consultas DNS
La versión corta
- Cómo se lee un registro. Un registro SPF es una sola línea de texto publicada como registro TXT.
- Calificadores. Un calificador es un único carácter situado justo delante de un mecanismo.
- Mecanismos que no necesitan consulta DNS. Los mecanismos ip4 e ip6 coinciden con una dirección literal o con un rango escrito en notación CIDR.
- Mecanismos que cuestan una consulta DNS. El mecanismo include pide al receptor que evalúe el registro SPF de otro dominio y que coincida si ese registro da pass.
- Modificadores: redirect y exp. Un modificador se escribe nombre=valor y no es una prueba de la dirección de envío.
- Límites de longitud y formato. Cada cadena dentro de un registro TXT puede contener como máximo 255 caracteres.
Cómo se lee un registro
Un registro SPF es una sola línea de texto publicada como registro TXT. Debe empezar con la etiqueta de versión v=spf1, seguida de una lista de términos separados por espacios. Un servidor receptor evalúa los términos de izquierda a derecha frente a la dirección IP que se conectó, y el primer término que coincide decide el resultado.
v=spf1 ip4:203.0.113.10 include:_spf.example.net ~allSi ningún término coincide y no hay redirect, el resultado es neutral. Por eso la mayoría de los registros terminan con un término all: coincide con todo, de modo que la última palabra siempre indica qué hacer con un servidor que no figura en la lista.
Calificadores
Un calificador es un único carácter situado justo delante de un mecanismo. Define el resultado cuando ese mecanismo coincide. Sin calificador se asume el más, por lo que mx y +mx significan lo mismo.
-all fail: not authorised
~all softfail: probably not authorised
?all neutral: no opinion
+all pass: everyone is authorised (never use this)Los cuatro resultados son pass (más), fail (menos), softfail (tilde) y neutral (signo de interrogación). Los receptores suelen tratar fail y softfail como una señal negativa y no como una orden de rechazo, y DMARC decide qué ocurre con un mensaje que falla.
Mecanismos que no necesitan consulta DNS
Los mecanismos ip4 e ip6 coinciden con una dirección literal o con un rango escrito en notación CIDR. Son la parte más barata de un registro porque el receptor no tiene nada que consultar, y son la opción más segura cuando un proveedor publica direcciones de envío fijas.
ip4:203.0.113.0/24
ip6:2001:db8::/32
allEl mecanismo all coincide con todas las direcciones. Va al final. Los términos escritos después nunca se alcanzan.
Mecanismos que cuestan una consulta DNS
El mecanismo include pide al receptor que evalúe el registro SPF de otro dominio y que coincida si ese registro da pass. El mecanismo a coincide con los registros de direcciones de un dominio, y mx coincide con las direcciones de sus servidores de correo. Ambos usan por defecto el dominio que se está comprobando y ambos aceptan un dominio y una longitud CIDR. El mecanismo exists coincide si un nombre se resuelve, y ptr coincide mediante DNS inverso.
include:_spf.example.net
a
a:mail.example.com/24
mx
exists:%{i}._spf.example.comCada uno de include, a, mx, ptr y exists, y el modificador redirect, cuenta para el límite de diez consultas DNS, y los include dentro de otros include también cuentan. El estándar también limita el mecanismo mx a diez servidores de correo. El estándar desaconseja ptr porque es lento y poco fiable, así que evítelo.
Modificadores: redirect y exp
Un modificador se escribe nombre=valor y no es una prueba de la dirección de envío. El modificador redirect dice: ignore el resto de este registro y use en su lugar el registro de otro dominio. Solo se consulta cuando ningún mecanismo ha coincidido, y un registro que tiene un término all nunca llega a él.
v=spf1 redirect=_spf.example.netEl modificador exp indica un dominio cuyo registro TXT contiene una cadena de explicación que los receptores pueden mostrar cuando SPF falla. La mayoría de los dominios nunca lo usan. Cada nombre puede aparecer como máximo una vez en un registro.
Límites de longitud y formato
Cada cadena dentro de un registro TXT puede contener como máximo 255 caracteres. Un registro más largo se almacena como varias cadenas que los receptores unen, y la mayoría de los paneles de DNS dividen por usted un valor largo. Un registro muy largo también puede superar el tamaño de una respuesta DNS normal, otra razón para mantener la lista corta.
Los términos se separan con uno o más espacios y no distinguen entre mayúsculas y minúsculas. Mantenga el registro en un solo registro TXT: un dominio con dos registros SPF recibe un error permanente.
Errores de sintaxis que rompen un registro
La mayoría de los fallos proceden de unos pocos descuidos: falta v=spf1, un include sin dominio, un mecanismo mal escrito como inlcude, una dirección con un error como ip4:203.0.113.300 o un carácter perdido por copiar y pegar. Cualquiera de ellos invalida todo el registro y el resultado es un error permanente.
Pruebe antes de publicar. Nuestro verificador de SPF lee un registro pegado, marca cada problema y cuenta las consultas DNS, de modo que pueda corregir un registro antes de que entre en producción.
Lecturas adicionales y fuentes
Hágalo en MigoSMTP: artículos del centro de ayuda
- Solucione el permerror de SPF y el límite de 10 consultas
- Autentique un dominio de envío en MigoSMTP: SPF, DKIM y DMARC
- Verifique su dominio de envío: registros DNS y propagación
Guías y herramientas relacionadas
- Verificador de registros SPF: Pegue un registro o compruebe un dominio.
- Generador de registros SPF: Cree un registro que se mantenga dentro del límite.
- Cómo crear un registro SPF: La guía paso a paso.
- Ejemplos de registros SPF: Workspace, Microsoft 365 y más.
¿No está seguro de que sus registros sean correctos? Ejecute nuestro verificador gratuito o envíenos una cabecera y le ayudaremos a interpretarla.
Preguntas frecuentes
¿Cuál es la sintaxis de un registro SPF?
Un registro SPF es un único registro TXT que empieza con v=spf1, seguido de términos que se leen de izquierda a derecha y que normalmente termina con un término all. Cada término es un mecanismo como ip4, include, a o mx, precedido opcionalmente por un calificador que define el resultado.
¿Qué significan el más, el menos, la tilde y el signo de interrogación en SPF?
Son calificadores. Más significa pass y es el valor predeterminado, menos significa fail, tilde significa softfail y signo de interrogación significa neutral. Van justo delante de un mecanismo, por ejemplo -all o ~all.
¿Qué mecanismos de SPF cuentan para el límite de 10 consultas?
Cuentan los mecanismos include, a, mx, ptr y exists y el modificador redirect. Los mecanismos ip4, ip6 y all no necesitan una consulta DNS, por lo que no cuentan.
¿Qué ocurre con los términos escritos después del mecanismo all?
Nunca se evalúan, porque la evaluación se detiene en el primer término que coincide y all coincide con todo. Ponga all al final.