¿Qué es SPF? Sender Policy Framework explicado
SPF (Sender Policy Framework) es un registro DNS que indica qué servidores de correo están autorizados a enviar email en nombre de tu dominio. Sin él, cualquiera puede falsificar correos que parezcan venir de tu dominio.
Cómo funciona SPF
Cuando un servidor de correo receptor recibe un email que dice venir de [email protected], consulta los registros TXT del DNS de example.com y busca un registro SPF. Si la IP del servidor emisor aparece en la lista, el correo supera SPF. Si no, falla.
- El correo llega al servidor de correo del destinatario
- El servidor consulta en el DNS el registro SPF del dominio remitente
- El servidor compara la IP emisora con el registro SPF
- Si la IP está autorizada, SPF pasa. Si no, falla.
- El servidor receptor aplica la política (~all, -all, etc.)
Sintaxis del registro SPF
Un registro SPF es un registro TXT que empieza por v=spf1:
v=spf1 include:_spf.google.com include:sendgrid.net ~all
Desglosado:
- v=spf1 — Identificador de versión de SPF (siempre este)
- include:_spf.google.com — autoriza los servidores de correo de Google
- include:sendgrid.net — autoriza los servidores de correo de SendGrid
- ~all — softfail para cualquier otro servidor
Mecanismos de SPF
| Mechanism | Example | Meaning |
|---|---|---|
ip4: | ip4:203.0.113.1 | Autoriza una dirección IPv4 concreta |
ip6: | ip6:2001:db8::1 | Autoriza una dirección IPv6 concreta |
include: | include:_spf.google.com | Incluye la política SPF de otro dominio |
a | a | Autoriza la IP del propio registro A del dominio |
mx | mx | Autoriza las IP de los registros MX del dominio |
Cualificadores de all
| Qualifier | Name | Meaning |
|---|---|---|
-all | Fail | Rechazar el correo de servidores no autorizados (estricto) |
~all | Softfail | Aceptar pero marcar como sospechoso (recomendado) |
?all | Neutral | Sin política: tratarlo como si no hubiera SPF |
+all | Pass | Permitir todos los servidores: peligroso, no lo uses nunca |
Registros SPF habituales por proveedor de correo
# Google Workspace v=spf1 include:_spf.google.com ~all # Microsoft 365 v=spf1 include:spf.protection.outlook.com ~all # Mailchimp + Google Workspace v=spf1 include:_spf.google.com include:servers.mcsv.net ~all # SendGrid v=spf1 include:sendgrid.net ~all
Limitaciones de SPF
- Límite de 10 consultas DNS — SPF permite como máximo 10 consultas DNS (cada
include:,a,mxcuenta). Superarlo provoca un PermError. - El reenvío rompe SPF — Cuando se reenvía un correo, la IP del servidor que reenvía no está en tu registro SPF, así que SPF falla. Por eso también hace falta DMARC con DKIM.
- Un solo registro SPF por dominio — Varios registros SPF provocan un PermError. Únelos en uno solo.
Preguntas frecuentes
¿Necesito SPF?
Sí. Sin SPF, cualquiera puede enviar correo que parezca venir de tu dominio. SPF es la primera línea de defensa contra la suplantación de correo.
¿Dónde añado un registro SPF?
Añade un registro TXT en la raíz de tu dominio (@) a través de tu proveedor DNS o registrador. El valor es la cadena del registro SPF.
¿Cómo sé si mi SPF funciona?
Use the comprobador de seguridad del correo or the consulta de registros TXT para ver tu registro SPF actual.
Ve la teoría en la práctica: ejecuta Comprobación de seguridad del correo para tu propio dominio.