Cómo usarlo
- (Opcional) Introduzca su dominio e importe su SPF actual para no perder servicios en uso.
- Marque cada servicio que envía con su dominio y añada las IP de sus servidores.
- Elija ~all o -all y pulse «Contar consultas» para confirmar que no pasa de 10.
- En el DNS, sustituya el único registro TXT en @ por el valor generado y verifíquelo con el comprobador.
Para qué sirve SPF
SPF (Sender Policy Framework) es una lista de servidores de envío autorizados publicada en un registro TXT. El receptor comprueba si la IP que se conecta está en la lista y, junto con DKIM y DMARC, decide entre bandeja de entrada, spam o rechazo.
Desde 2024 Gmail y Yahoo exigen SPF o DKIM a todo dominio que envíe correo, y los remitentes masivos (más de 5.000 mensajes al día) necesitan los tres; si no, el correo se limita o se rechaza.
El límite de 10 consultas
RFC 7208 limita include, a, mx, exists, redirect y ptr a 10 consultas DNS por evaluación SPF, contando los include anidados. ip4, ip6 y all no cuentan. Superarlo da permerror, que muchos receptores tratan como fallo de SPF.
Soluciones habituales: quitar servicios que ya no use, eliminar a y mx innecesarios, escribir los servidores fijos como ip4/ip6 y enviar el marketing desde un subdominio como news.ejemplo.com con su propio SPF.
¿~all o -all?
Con DMARC, la política DMARC decide qué se bloquea, así que ~all y -all se comportan casi igual; ~all perjudica menos al correo reenviado y es lo que recomiendan la mayoría de proveedores. Considere -all solo cuando los informes DMARC confirmen que todos los remitentes están incluidos.
Preguntas frecuentes
¿Puede un dominio tener dos registros SPF?
No. Dos registros TXT que empiezan por v=spf1 hacen que el SPF falle con permerror. Al añadir un servicio, integre su include en el registro existente en vez de crear otro.
¿Qué va en el campo host?
Use «@» para el dominio raíz (algunos paneles lo quieren vacío) o la etiqueta del subdominio, p. ej. news. Elija el tipo TXT, no el tipo SPF obsoleto.
Tengo SPF pero el correo sigue yendo a spam. ¿Por qué?
SPF solo avala el servidor; DMARC exige además que el dominio de SPF o DKIM coincida con la dirección From. Configure también DKIM y DMARC y revise listas negras, contenido y volumen de envío.
¿Necesita SPF un dominio que no envía correo?
Sí: publique v=spf1 -all y un registro DMARC con p=reject para que nadie use el dominio en phishing.