Acerca de los registros SPF

El registro SPF determina qué servidores de correo y dominios tienen permitido enviar correo en nombre de tu dominio. Cada dominio puede tener un registro SPF, pero en él se pueden especificar servidores y terceros adicionales que tengan permitido enviar correo desde tu dominio.

 

• Esos servidores comprueban tu registro SPF para confirmar que los mensajes que parecen proceder de tu organización se han enviado desde servidores autorizados.
• El registro SPF también indica a los servidores receptores qué hacer con los mensajes una vez comprobados.

Formato de los registros SPF

Un registro SPF es una línea de texto sin formato que incluye una serie de etiquetas y valores. Las etiquetas se denominan mecanismos. Los valores suelen ser direcciones IP y nombres de dominio.

El registro SPF se añade al proveedor del dominio en forma de registro TXT de DNS. Más información sobre los registros TXT

Los registros SPF pueden tener hasta 255 caracteres. En cuanto al tamaño, el archivo del registro TXT no debe tener más de 512 bytes.

Familiarizarte con las direcciones IP

Las direcciones IP sirven para identificar dispositivos y conectarse a Internet. Permiten que ordenadores, dispositivos móviles y servidores se comuniquen entre sí. Los servidores que envían y reciben correo se identifican por su dirección IP única. Por tanto, es posible que en el registro SPF de tu dominio tengas que incluir las direcciones IP de los servidores que envían correo en nombre de tu dominio.

• Las direcciones IP versión 4 (IPv4) tienen este formato: 203.0.113.42
• Las direcciones IP versión 6 (IPv6) tienen este otro formato: 2001:db8:14:5:1:2:bf35:2610

Por lo general, las direcciones IP se asignan a las redes en bloques. Así, las direcciones IP que tienen una barra inclinada (/) en realidad indican varias direcciones IP:

• IPv4: 192.0.2.0/24
• IPv6: 2001:db8:1234::/48

Cuando usas un bloque de direcciones IP en tu registro SPF, el registro afecta a todas las direcciones IP del bloque.

Mecanismos de los registros SPF

Crea tu registro SPF con los mecanismos que se indican en la tabla de abajo. Los servidores que reciben correo comprueban si los mensajes concuerdan con los distintos mecanismos en el orden en que aparecen dentro del registro SPF.

Recuerda:

• Puedes usar calificadores de los registros SPF opcionales (más adelante en esta página) con los mecanismos. 
• Tu registro TXT de SPF no debería incluir más de 10 referencias a otros dominios o servidores.  Estas referencias se denominan peticiones. Consulta más información en Comprueba las peticiones de DNS de tu registro SPF.

Mecanismo	Descripción y valores
v	(Obligatorio) Esta es la versión de SPF. Esta etiqueta debe ser la primera del registro. Este mecanismo debe tener este valor: v=spf1.
ip4	Autoriza a servidores de correo mediante una dirección o un intervalo de direcciones IPv4. Este valor debe ser una dirección o un intervalo de direcciones IPv4 en formato estándar; por ejemplo: ip4:192.168.0.1 o ip4:192.0.2.0/24.
ip6	Autoriza a servidores de correo mediante una dirección o un intervalo de direcciones IPv6. Este valor debe ser una dirección o un intervalo IPv6 en formato estándar; por ejemplo: ip6:3FFE:0000:0000:0001:0200:F8FF:FE75:50DF o ip6:2001:db8:1234::/48.
a	Autoriza a servidores de correo por su nombre de dominio. Por ejemplo: a:example.com.
mx	Autoriza a uno o varios servidores de correo por el registro MX del dominio. Por ejemplo: mx:mail.example.com. Si no incluyes este mecanismo en tu registro SPF, el valor predeterminado son los registros MX del dominio en el que se usa el registro SPF.
include	Autoriza a remitentes de correo externos por su dominio. Por ejemplo: include:servers.mail.net.
todos	Indica que todos los mensajes entrantes coinciden. Te recomendamos que siempre incluyas este mecanismo en tu registro SPF. Tiene que ser el último mecanismo del registro SPF. Todos los mecanismos que haya después de all se ignorarán. ¿Debo usar ~all o -all? Cuando un registro SPF incluye ~all (calificador de que se supera la autenticación con reservas), los servidores que reciben correo suelen aceptar los mensajes de remitentes que no figuran en el registro SPF, pero los marcan como sospechosos. Cuando un registro SPF incluye -all (calificador de fallo), puede que los servidores que reciben correo rechacen los mensajes de remitentes que no figuren en el registro SPF. Si tu registro SPF no está bien configurado y usas el calificador de fallo, puede que se marquen como spam más mensajes de tu dominio. Nota: Para evitar el spoofing de dominios que no envían correo, usa este registro SPF en el dominio vspf1 ~all.

Calificadores de los registros SPF

Un calificador es un prefijo opcional que se puede añadir a cualquier mecanismo de los registros SPF. Los calificadores indican a los servidores que reciben correo si deben considerar que un mensaje está autenticado o no cuando detectan que coincide con el valor de un mecanismo. Por ejemplo:

v=spf1 include:_spf.google.com -all

En este ejemplo, el registro SPF autoriza solo a Google Workspace a enviar correo en nombre de tu dominio. El mecanismo all tiene un calificador de que se supera la autenticación con reservas (-), por lo que los mensajes de los remitentes que no figuren en tu registro SPF no superarán la comprobación de SPF y es posible que el servidor que los reciba los marque como spam. Si los mensajes de remitentes específicos se envían constantemente a spam, asegúrate de que esos remitentes estén incluidos en tu registro SPF.

 

Si usas un calificador de fallo estricto (-) antes de all en tu registro SPF, es más probable que el servidor receptor rechace los mensajes que no superen la comprobación SPF, y no podrás usar esos mensajes para solucionar problemas en tu registro SPF. En ese caso, Google te recomienda que uses los informes de DMARC para identificar a todos los remitentes de tu dominio.

Los mecanismos se comprueban por orden de aparición en el registro SPF. Si un mecanismo no tiene calificador y un mensaje coincide, de forma predeterminada el mensaje supera la autenticación. Si un mensaje no coincide con ningún mecanismo, de forma predeterminada se considera que el mensaje no supera ni falla la autenticación.

Si quieres, puedes incluir los siguientes calificadores para indicar a los servidores que reciben correo qué hacer con los mensajes que coincidan con alguno de los mecanismos de tu registro SPF.

Calificador	Qué hace el servidor que recibe correo si detecta una coincidencia
+	Se supera la autenticación. Se autoriza a los servidores cuya dirección IP coincida a enviar correo en nombre del dominio. Se autentican los mensajes. Es lo que ocurre de forma predeterminada cuando los mecanismos no incluyen ningún calificador.
-	No se supera la autenticación. No se autoriza a los servidores cuya dirección IP coincida a enviar correo en nombre del dominio. El registro SPF no incluye la dirección IP ni el dominio del servidor remitente, por lo que los mensajes no superan la autenticación.
~	Se supera la autenticación con reservas. Es poco probable que los dominios cuya dirección IP coincida estén autorizados a enviar correo en nombre del dominio. El servidor que recibe correo suele aceptar estos mensajes, pero los marca como sospechosos.
?	Neutral. Ni se supera ni se falla la autenticación. El registro SPF no indica de forma explícita si la dirección IP está autorizada a enviar correo en nombre del dominio. Los registros SPF con resultados neutrales suelen incluir ?all.