Comprobador SPF

Es un registro TXT del dominio que enumera los servidores autorizados a enviar correo con él. Cuando llega un mensaje, el servidor que lo recibe mira desde qué IP viene y comprueba si está en esa lista. Si no está, el SPF falla y el mensaje pierde credibilidad: puede ir a spam o rechazarse, según lo que diga tu DMARC.

La norma (RFC 7208) limita a diez las consultas DNS que puede costar evaluar un SPF, para que nadie use el correo como amplificador de ataques. Cuentan include, a, mx, ptr, exists y redirect, también los que hay dentro de cada include. Para bajar: quita los proveedores que ya no usas, cambia a y mx por la IP con ip4 cuando sea fija, y manda los boletines desde un subdominio con su propio SPF. Aplanar el registro (sustituir los include por sus IP) funciona hasta que el proveedor cambia de IP sin avisar.

Si ya tienes DMARC, ~all es suficiente: el que decide qué hacer con un fallo es DMARC, y así no pierdes correo legítimo si un día envías desde un servicio que olvidaste añadir. -all tiene sentido cuando sabes con certeza quién envía por ti. Lo que nunca conviene es +all, que autoriza a cualquiera, ni ?all, que no protege nada.

No. Si el dominio publica dos TXT que empiezan por v=spf1, el resultado es un error permanente y ninguno de los dos vale. Es un fallo muy habitual al añadir un servicio nuevo: en lugar de crear otro registro, añade su include al que ya tienes.

Ayuda, pero no basta. Desde febrero de 2024 Gmail y Yahoo piden SPF o DKIM a cualquiera que les envíe, y SPF, DKIM y DMARC a quien envía más de 5.000 mensajes al día. Además miran la reputación de la IP, el contenido y cómo reaccionan los destinatarios. Para verlo todo junto, envía un mensaje a nuestro test de correo.