SPF (Sender Policy Framework) es un registro TXT en el DNS de tu dominio que enumera los servidores autorizados a enviar correo en tu nombre. El generador SPF monta el registro a partir de tus respuestas y cuenta las consultas DNS mientras escribes, porque superar el límite de 10 consultas es la causa más común de que SPF falle. El botón Comprobar el registro actual lee el SPF que ya tienes publicado y cuenta sus consultas, incluidos los include anidados.
Cómo rellenar el formulario
- a: autoriza el servidor al que apunta el registro A del dominio. Hace falta cuando la propia web envía correo, por ejemplo desde un formulario de contacto.
- mx: autoriza los servidores de tus registros MX. Úsalo si el correo saliente sale por los mismos servidores que reciben el entrante.
- ip4 e ip6: direcciones sueltas o rangos CIDR como 203.0.113.0/24. Estos mecanismos no gastan consultas DNS.
- include: servicios externos que envían por ti (correo de empresa, CRM, plataforma de newsletters). Cada servicio indica en su documentación el valor exacto, por ejemplo _spf.google.com para Google Workspace.
- Política para los demás servidores:
~allmarca el correo ajeno como sospechoso y-allpide a los receptores que lo rechacen.
Publica el resultado como registro TXT en el propio dominio (host @). Si ya existe un registro SPF, no añadas un segundo: dos registros SPF provocan un permerror y SPF falla para todo tu correo. Une los mecanismos en un solo registro; tras comprobar el SPF actual, el botón Pasar al formulario lo hace por ti.
El límite de 10 consultas DNS
Al evaluar SPF, el receptor puede hacer como máximo 10 consultas DNS. Los mecanismos a, mx, include, exists, ptr y el modificador redirect gastan una cada uno, y cada include trae sus propios mecanismos, que también cuentan. Servicios como Google Workspace o Microsoft 365 consumen varias consultas, así que con tres o cuatro servicios conectados es fácil pasarse. Para bajar la cuenta, quita los servicios que ya no uses, cambia a y mx por rangos ip4 explícitos y evita ptr.
¿~all o -all?
Empieza con ~all: así el correo de un servidor que olvidaste incluir se marca en vez de perderse. Cuando los informes DMARC muestren que todos los remitentes legítimos pasan, cambia a -all. El mecanismo +all deja que cualquiera en el mundo envíe como tu dominio, por eso el generador no lo ofrece.
Siguientes pasos
SPF funciona junto con DKIM y DMARC. Revisa tu firma con comprobar DKIM y crea la política para el correo que falla con el generador DMARC. El orden completo está en la guía para configurar SPF, DKIM y DMARC. Después de publicar, verifica el registro en el modo correo de comprobar DNS: los cambios suelen verse en minutos, a veces en unas horas.
Si tu correo funciona en el hosting de correo de RichHost, sale desde IP limpias, la entrega se vigila y el número y el tamaño de los buzones son ilimitados. Y si los mensajes acaban en spam a pesar de un SPF correcto, mira si la IP de envío aparece en IP en lista negra.
Preguntas frecuentes
¿Un dominio puede tener dos registros SPF?
No. Solo se admite un registro TXT que empiece por v=spf1; si hay más, los receptores devuelven permerror.
¿Necesito SPF si el dominio no envía correo?
Sí. El registro v=spf1 -all declara que el dominio no envía correo y dificulta que lo suplanten.
¿Qué hago si el registro pasa de 255 caracteres?
Divide el valor en varias cadenas entre comillas dentro del mismo registro TXT. Los receptores las unen en un solo registro.
¿Cómo comprobar mi SPF actual?
Escribe tu dominio y pulsa Comprobar el registro actual: verás el registro publicado, sus mecanismos y el número total de consultas DNS.