¿Qué es SPF?
SPF (Sender Policy Framework) es un protocolo de autenticación de correo electrónico definido en el RFC 7208. Funciona publicando un registro DNS TXT bajo su dominio que enumera cada dirección IP o nombre de host con permiso para enviar correo "desde" ese dominio. Cuando un servidor de correo receptor recibe un mensaje que dice ser de usted, consulta su DNS para verificar si la IP del servidor emisor está en su lista aprobada.
Sin SPF, cualquier persona puede falsificar la ruta de retorno (envelope From) de un correo electrónico y hacer que parezca provenir de su dominio — una técnica comúnmente utilizada en campañas de phishing y spam.
¿Por qué necesita SPF?
1Previene la suplantación de identidad (spoofing)
Evita que actores maliciosos falsifiquen su dominio como la dirección de envío.
2Mejora la entregabilidad
Los servidores receptores confían en los remitentes autorizados y reducen las puntuaciones de spam.
3Requerido para DMARC
SPF es uno de los dos mecanismos en los que se apoya DMARC para la alineación.
4Protección de la reputación
Los remitentes no autorizados no pueden dañar la reputación de envío de su dominio.
Cómo funciona SPF — paso a paso
Usted publica un registro TXT en `_su-dominio.com` enumerando las IPs e inclusiones autorizadas.
Su servidor de correo envía un correo; la dirección del sobre "From" lleva su dominio.
El servidor receptor extrae la IP de envío y el dominio del sobre (envelope From).
Consulta su DNS en busca del registro SPF y verifica si la IP emisora está en la lista.
El resultado es `pass`, `fail`, `softfail`, `neutral` o `permerror` — utilizado en las decisiones de filtrado de spam.
Sintaxis del registro SPF
v=spf1 ip4:203.0.113.10 include:_spf.google.com include:sendgrid.net -allDesglose de mecanismos
v=spf1— versión, siempre al principioip4:— autoriza una dirección/rango IPv4ip6:— autoriza una dirección/rango IPv6include:— hereda el SPF de otro dominioa— autoriza la IP del registro A del dominiomx— autoriza los servidores MX del dominioredirect=— delega al SPF completo de otro dominioCalificadores (prefijo de cada mecanismo)
+ (predeterminado)Pass — autorizado-Fail — rechaza remitentes no autorizados~SoftFail — marcar como sospechoso, no rechazar?Neutral — sin declaraciónErrores comunes de SPF y soluciones
Demasiadas búsquedas DNS
Simplifique (flatten) su registro SPF reemplazando los 'includes' con IPs directas, o use un servicio de aplanamiento de SPF.
Falta un servicio de envío
Agregue la etiqueta include: del servicio (ej. Mailchimp, Zendesk) a su registro SPF.
Múltiples registros SPF
Solo se permite UN registro TXT con v=spf1 — fusiónelos en un solo registro.
Correos reenviados
SPF se rompe al reenviar porque la IP del servidor que reenvía no está en su lista — DKIM soluciona esto.
Preguntas Frecuentes
Es un registro TXT que lista las IPs autorizadas para enviar correos en su nombre, evitando que spammers usen su dominio para phishing.
Es un límite para evitar ataques DoS. Si excede 10 búsquedas (por 'include', 'a', 'mx', etc.), el SPF fallará con un PermError. Se puede evitar usando IPs en lugar de hostnames.
'~all' sugiere aceptar el correo pero marcarlo como sospechoso si falla. '-all' es una instrucción estricta para rechazar el correo totalmente.
Suele ocurrir por errores de sintaxis, tener múltiples registros SPF o exceder el límite de 10 búsquedas.
No, debe haber exactamente uno que empiece por 'v=spf1'. Tener varios causará un fallo automático.
No directamente. Valida el 'Return-Path'. Para proteger la dirección 'De' visible, necesita DMARC.