Introduce tu dominio
Empieza por introducir el dominio para el que quieres crear un registro SPF.
¿Qué es SPF?
SPF (Sender Policy Framework) es un protocolo de autenticación de correo electrónico definido en el RFC 7208. Funciona publicando un registro DNS TXT bajo tu dominio que enumera cada dirección IP o nombre de host con permiso para enviar correo "desde" ese dominio. Cuando un servidor de correo receptor recibe un mensaje que dice ser tuyo, consulta tu DNS para verificar si la IP del servidor emisor está en tu lista aprobada.
Sin SPF, cualquier persona puede falsificar la ruta de retorno (envelope From) de un correo electrónico y hacer que parezca provenir de tu dominio — una técnica comúnmente utilizada en campañas de phishing y spam.
¿Por qué necesita SPF?
1Previene la suplantación de identidad (spoofing)
Evita que actores maliciosos falsifiquen tu dominio como la dirección de envío.
2Mejora la entregabilidad
Los servidores receptores confían en los remitentes autorizados y reducen las puntuaciones de spam.
3Requerido para DMARC
SPF es uno de los dos mecanismos en los que se apoya DMARC para la alineación.
4Protección de la reputación
Los remitentes no autorizados no pueden dañar la reputación de envío de tu dominio.
Cómo funciona SPF — paso a paso
Publicas un registro TXT en `_su-dominio.com` enumerando las IPs e inclusiones autorizadas.
Tu servidor de correo envía un correo; la dirección del sobre "From" lleva tu dominio.
El servidor receptor extrae la IP de envío y el dominio del sobre (envelope From).
Consulta tu DNS en busca del registro SPF y verifica si la IP emisora está en la lista.
El resultado es `pass`, `fail`, `softfail`, `neutral` o `permerror` — utilizado en las decisiones de filtrado de spam.
Sintaxis del registro SPF
v=spf1 ip4:203.0.113.10 include:_spf.google.com include:sendgrid.net -allDesglose de mecanismos
v=spf1— versión, siempre al principioip4:— autoriza una dirección/rango IPv4ip6:— autoriza una dirección/rango IPv6include:— hereda el SPF de otro dominioa— autoriza la IP del registro A del dominiomx— autoriza los servidores MX del dominioredirect=— delega al SPF completo de otro dominioCalificadores (prefijo de cada mecanismo)
+ (predeterminado)Pass — autorizado-Fail — rechaza remitentes no autorizados~SoftFail — marcar como sospechoso, no rechazar?Neutral — sin declaraciónErrores comunes de SPF y soluciones
Demasiadas búsquedas DNS
Simplifique (flatten) tu registro SPF reemplazando los 'includes' con IPs directas, o use un servicio de aplanamiento de SPF.
Falta un servicio de envío
Agregue la etiqueta include: del servicio (ej. Mailchimp, Zendesk) a tu registro SPF.
Múltiples registros SPF
Solo se permite UN registro TXT con v=spf1 — fusiónelos en un solo registro.
Correos reenviados
SPF se rompe al reenviar porque la IP del servidor que reenvía no está en tu lista — DKIM soluciona esto.
Preguntas Frecuentes
Identifique los servicios que envían correos por tu dominio y añádalos como 'include'. Termine con ~all o -all.
Use 'ip4:' o 'ip6:'. Es eficiente porque no cuenta para el límite de búsquedas DNS.
'v=spf1', 'include', 'ip4'/'ip6', 'a' y 'mx' son los principales.
Use 'ip4' para tus propios servidores para evitar búsquedas DNS. Use 'include' solo para servicios de terceros.
Lístelos todos en un solo registro con varios 'include', sin pasarse de las 10 búsquedas.
Ambos indican a los receptores qué hacer con el correo procedente de servidores que no figuran en tu registro SPF. -all (fallo estricto) les indica que rechacen el correo no autorizado, mientras que ~all (fallo leve) les dice que lo acepten pero lo marquen como sospechoso. Usa ~all mientras realizas pruebas y pasa a -all cuando tengas la certeza de que todos los remitentes legítimos están incluidos.
Los cambios en SPF suelen propagarse en unos minutos o un par de horas, pero pueden tardar hasta 24 o 48 horas según la configuración de TTL de tu proveedor de DNS. Reducir el TTL antes de hacer cambios ayuda a que las actualizaciones surtan efecto más rápido.
Publica el registro en tu DNS y luego ejecuta un verificador de SPF para confirmar que se resuelve, que se mantiene dentro del límite de 10 búsquedas DNS y que autoriza todas tus fuentes de envío. Enviar un correo de prueba a una dirección semilla y revisar las cabeceras en busca de spf=pass es la confirmación final.