¿Qué es SPF?
SPF (Sender Policy Framework) es un protocolo de autenticación de correo electrónico definido en el RFC 7208. Funciona publicando un registro DNS TXT bajo tu dominio que enumera cada dirección IP o nombre de host con permiso para enviar correo "desde" ese dominio. Cuando un servidor de correo receptor recibe un mensaje que dice ser tuyo, consulta tu DNS para verificar si la IP del servidor emisor está en tu lista aprobada.
Sin SPF, cualquier persona puede falsificar la ruta de retorno (envelope From) de un correo electrónico y hacer que parezca provenir de tu dominio — una técnica comúnmente utilizada en campañas de phishing y spam.
¿Por qué necesita SPF?
1Previene la suplantación de identidad (spoofing)
Evita que actores maliciosos falsifiquen tu dominio como la dirección de envío.
2Mejora la entregabilidad
Los servidores receptores confían en los remitentes autorizados y reducen las puntuaciones de spam.
3Requerido para DMARC
SPF es uno de los dos mecanismos en los que se apoya DMARC para la alineación.
4Protección de la reputación
Los remitentes no autorizados no pueden dañar la reputación de envío de tu dominio.
Cómo funciona SPF — paso a paso
Publicas un registro TXT en `_su-dominio.com` enumerando las IPs e inclusiones autorizadas.
Tu servidor de correo envía un correo; la dirección del sobre "From" lleva tu dominio.
El servidor receptor extrae la IP de envío y el dominio del sobre (envelope From).
Consulta tu DNS en busca del registro SPF y verifica si la IP emisora está en la lista.
El resultado es `pass`, `fail`, `softfail`, `neutral` o `permerror` — utilizado en las decisiones de filtrado de spam.
Sintaxis del registro SPF
v=spf1 ip4:203.0.113.10 include:_spf.google.com include:sendgrid.net -allDesglose de mecanismos
v=spf1— versión, siempre al principioip4:— autoriza una dirección/rango IPv4ip6:— autoriza una dirección/rango IPv6include:— hereda el SPF de otro dominioa— autoriza la IP del registro A del dominiomx— autoriza los servidores MX del dominioredirect=— delega al SPF completo de otro dominioCalificadores (prefijo de cada mecanismo)
+ (predeterminado)Pass — autorizado-Fail — rechaza remitentes no autorizados~SoftFail — marcar como sospechoso, no rechazar?Neutral — sin declaraciónErrores comunes de SPF y soluciones
Demasiadas búsquedas DNS
Simplifique (flatten) tu registro SPF reemplazando los 'includes' con IPs directas, o use un servicio de aplanamiento de SPF.
Falta un servicio de envío
Agregue la etiqueta include: del servicio (ej. Mailchimp, Zendesk) a tu registro SPF.
Múltiples registros SPF
Solo se permite UN registro TXT con v=spf1 — fusiónelos en un solo registro.
Correos reenviados
SPF se rompe al reenviar porque la IP del servidor que reenvía no está en tu lista — DKIM soluciona esto.
Preguntas Frecuentes
Es un registro TXT que lista las IPs autorizadas para enviar correos en tu nombre, evitando que spammers usen tu dominio para phishing.
Es un límite para evitar ataques DoS. Si excede 10 búsquedas (por 'include', 'a', 'mx', etc.), el SPF fallará con un PermError. Se puede evitar usando IPs en lugar de hostnames.
'~all' sugiere aceptar el correo pero marcarlo como sospechoso si falla. '-all' es una instrucción estricta para rechazar el correo totalmente.
Suele ocurrir por errores de sintaxis, tener múltiples registros SPF o exceder el límite de 10 búsquedas.
No, debe haber exactamente uno que empiece por 'v=spf1'. Tener varios causará un fallo automático.
SPF permite un máximo de 10 búsquedas DNS, y los mecanismos include de proveedores como Google o SendGrid suman a ese recuento. Redúcelas reemplazando algunos include por entradas directas ip4 o ip6, eliminando remitentes que no uses, o aplicando el aplanamiento de SPF para consolidar las búsquedas en menos entradas.