Definir el registro SPF: configuración avanzada

A quién está dirigido este artículo

Este artículo está dirigido a profesionales de TI y a usuarios que tengan experiencia en la configuración de servidores de correo. Contiene información técnica sobre el marco de políticas del remitente (SPF), incluidos los requisitos de los registros SPF, la sintaxis de los registros SPF y cómo afecta SPF a la entrega de correo. Si necesitas un registro SPF básico para enviar correo solo con Google Workspace o con Google Workspace más tus otros remitentes de correo, sigue las instrucciones que se indican en el artículo Definir el registro SPF: configuración básica.

Si solo envías correo electrónico con Google Workspace, consulta el artículo Definir el registro SPF: configuración básica para obtener tu registro SPF.

El registro SPF determina qué servidores de correo y dominios tienen permitido enviar correo en nombre de tu dominio. También indica a los servidores que reciben tu correo qué hacer con los mensajes una vez comprobados. Esos servidores comprueban tu registro SPF para confirmar que los mensajes que parecen proceder de tu organización se han enviado desde servidores autorizados. Los dominios solo pueden tener un registro SPF. Sin embargo, en el registro SPF de un dominio se pueden especificar varios servidores y terceros que tengan permitido enviar correo en nombre del dominio.

 

Set up SPF

Para configurar SPF, añade un registro TXT de DNS al proveedor de tu dominio.

Formato de los registros SPF

Un registro SPF es una línea de texto sin formato que incluye una serie de etiquetas y valores. Las etiquetas se denominan mecanismos. Los valores suelen ser direcciones IP y nombres de dominio.

El registro SPF se añade al proveedor del dominio en forma de registro TXT de DNS. Más información sobre los registros TXT de DNS

Los registros SPF pueden tener hasta 255 caracteres. En cuanto al tamaño, el archivo del registro TXT no debe tener más de 512 bytes.

Mecanismos de los registros SPF

Crea tu registro SPF con los mecanismos que se indican en la tabla de abajo. Los servidores que reciben correo comprueban si los mensajes concuerdan con los distintos mecanismos en el orden en que aparecen dentro del registro SPF.

Recuerda:

• Puedes usar calificadores de los registros SPF con los mecanismos. 
• Tu registro TXT de SPF no debería incluir más de 10 referencias a otros dominios o servidores.  Estas referencias se denominan peticiones. Consulta más información en Comprueba las peticiones de DNS de tu registro SPF.

Mecanismo	Descripción y valores permitidos
v	Versión de SPF. Esta etiqueta es obligatoria y tiene que ser la primera del registro. Debe tener este valor: v=spf1
ip4	Autoriza a servidores de correo mediante una dirección o un intervalo de direcciones IPv4. El valor debe ser una dirección o un intervalo de direcciones IPv4 en formato estándar. Por ejemplo: ip4:192.168.0.1 o ip4:192.0.2.0/24
ip6	Autoriza a servidores de correo mediante una dirección o un intervalo de direcciones IPv6. El valor debe ser una dirección o un intervalo de direcciones IPv6 en formato estándar. Por ejemplo: ip6:3FFE:0000:0000:0001:0200:F8FF:FE75:50DF o ip6:2001:db8:1234::/48
a	Autoriza a servidores de correo por su nombre de dominio. Por ejemplo: a:solarmora.com
mx	Autoriza a uno o varios servidores de correo por el registro MX del dominio. Por ejemplo: mx:mail.solarmora.com Si no incluyes este mecanismo en tu registro SPF, el valor predeterminado son los registros MX del dominio en el que se usa el registro SPF.
include	Autoriza a remitentes de correo externos por su dominio. Por ejemplo: include:servers.mail.net
all	Indica que todos los mensajes entrantes coinciden. Te recomendamos que siempre incluyas este mecanismo en tu registro SPF. Tiene que ser el último mecanismo del registro SPF. Todos los mecanismos que haya después de all se ignorarán. ¿Debo usar ~all o -all? Cuando un registro SPF incluye ~all (calificador de que se supera la autenticación con reservas), los servidores que reciben correo suelen aceptar los mensajes de remitentes que no figuran en el registro SPF, pero los marcan como sospechosos. Cuando un registro SPF incluye -all (calificador de fallo), puede que los servidores que reciben correo rechacen los mensajes de remitentes que no figuren en el registro SPF. Si tu registro SPF no está bien configurado y usas el calificador de fallo, puede que se marquen como spam más mensajes de tu dominio. Nota: Para evitar el spoofing de dominios que no envían correo, usa este registro SPF en el dominio: vspf1 ~all

Calificadores de los registros SPF

Un calificador es un prefijo opcional que se puede añadir a cualquier mecanismo de los registros SPF. Los calificadores indican a los servidores que reciben correo si deben considerar que un mensaje está autenticado o no cuando detectan que coincide con el valor de un mecanismo. Por ejemplo:

v=spf1 include:_spf.google.com -all

En este ejemplo, el registro SPF autoriza solo a Google Workspace a enviar correo en nombre de tu dominio. El mecanismo all tiene un calificador de fallo (-), por lo que los mensajes que provengan de otros remitentes no superarán la comprobación de SPF y, en consecuencia, puede que el servidor que los reciba los rechace.

Los mecanismos se comprueban por orden de aparición en el registro SPF. Si un mecanismo no tiene calificador y un mensaje coincide, de forma predeterminada el mensaje supera la autenticación. Si un mensaje no coincide con ningún mecanismo, de forma predeterminada se considera que el mensaje no supera ni falla la autenticación.

Si quieres, puedes incluir los siguientes calificadores para indicar a los servidores que reciben correo qué hacer con los mensajes que coincidan con alguno de los mecanismos de tu registro SPF.

Calificador	Qué hace el servidor que recibe correo si detecta una coincidencia
+	Se supera la autenticación. Se autoriza a los servidores cuya dirección IP coincida a enviar correo en nombre del dominio. Se autentican los mensajes. Es lo que ocurre de forma predeterminada cuando los mecanismos no incluyen ningún calificador.
-	No se supera la autenticación. No se autoriza a los servidores cuya dirección IP coincida a enviar correo en nombre del dominio. El registro SPF no incluye la dirección IP ni el dominio del servidor remitente, por lo que los mensajes no superan la autenticación.
~	Se supera la autenticación con reservas. Es poco probable que los dominios cuya dirección IP coincida estén autorizados a enviar correo en nombre del dominio. El servidor que recibe correo suele aceptar estos mensajes, pero los marca como sospechosos.
?	Neutral. Ni se supera ni se falla la autenticación. El registro SPF no indica de forma explícita si la dirección IP está autorizada a enviar correo en nombre del dominio. Los registros SPF con resultados neutrales suelen incluir ?all

Pasos siguientes

Una vez que hayas creado el registro SPF de tu dominio, añádelo al proveedor de tu dominio.