SPF en una frase
SPF es un registro en el DNS de tu dominio con la lista de servidores que pueden enviar correo en tu nombre. El servidor que recibe un correo mira desde dónde llega y lo compara con tu lista.
Cómo es un registro SPF
Es un registro TXT en el propio dominio (no en un subdominio especial). Por ejemplo, si usas Google Workspace y una newsletter:
v=spf1 include:_spf.google.com include:servicio-de-envio.com ~all
v=spf1: siempre primero.include:: autoriza los servidores de un servicio. Cada servicio te dice cuál poner.ip4:eip6:: autorizan una IP o un rango concreto (por ejemplo, el servidor de tu web).aymx: autorizan las IPs de tu web o de tus servidores de correo entrante.- Al final, qué hacer con el resto:
~all(fallo suave, lo habitual) o-all(fallo, más estricto). Evita+all: autoriza a todo internet.
Lo que SPF no hace
SPF no mira el remitente que ve el destinatario, sino el remitente técnico (el Return-Path), que muchos servicios ponen con su propio dominio. Y se rompe cuando un correo se reenvía. Por eso SPF solo no basta: hace falta también DKIM, y DMARC para comprobar que todo cuadra con tu dominio.
Las tres reglas que más se rompen
- Un solo registro SPF. Si hay dos TXT que empiezan por
v=spf1, los dos dejan de valer. Al añadir un servicio, añade su include al registro que ya tienes. - Como mucho 10 consultas DNS. Cada
include,a,mx,existsyredirectcuenta, y los includes de dentro también. Si te pasas, SPF da permerror y falla para todo tu correo. - Sin erratas. Un
include=en vez deinclude:o un include a un dominio que ya no existe rompen el registro.
Cómo saber si el tuyo está bien
Escribe tu dominio arriba: recorremos todos los includes, contamos las consultas y te decimos qué sobra o qué falta. Si Gmail te rechaza correo por SPF, mira el error 5.7.27.