¿Qué es un registro SPF y cuáles son sus elementos?

SPF (Sender Policy Framework) es un registro DNS de tipo TXT que especifica qué servidores de correo están autorizados a enviar correos electrónicos en nombre de tu dominio. Protege contra el spoofing — la suplantación de tu dominio por parte de remitentes no autorizados.

¿Cómo funciona SPF?

Cuando el servidor del destinatario recibe un mensaje, comprueba el registro SPF del dominio del remitente. Compara la dirección IP del servidor que envió el correo con la lista de direcciones permitidas en el registro. Si la IP no está en la lista — el mensaje puede ser rechazado o marcado como spam.

Ejemplo de registro SPF

v=spf1 ip4:203.0.113.0/24 include:_spf.google.com ~all

Elementos del registro SPF

v=spf1

Versión

Cada registro SPF debe comenzar con v=spf1. Esta es la única versión del protocolo admitida.

Mecanismos

Los mecanismos determinan qué servidores están autorizados a enviar correo. Se comprueban en orden de izquierda a derecha.

Mecanismo	Ejemplo	Descripción
ip4	ip4:203.0.113.0/24	Permite una dirección IPv4 específica o un rango CIDR.
ip6	ip6:2001:db8::/32	Permite una dirección IPv6 específica o un rango CIDR.
include	include:_spf.google.com	Incluye el registro SPF de otro dominio. Se usa cuando se utilizan proveedores de correo externos (Google, SendGrid, etc.).
a	a:mail.example.com	Permite las direcciones IP indicadas por el registro A del dominio. Sin argumento, comprueba el dominio del encabezado.
mx	mx	Permite los servidores indicados por los registros MX del dominio. Útil cuando el servidor que recibe correo también lo envía.
exists	exists:%{i}.example.com	Comprueba si existe un registro DNS determinado. Poco usado, empleado en configuraciones avanzadas.
all	~all	Coincide con todas las direcciones IP. Siempre se usa al final del registro como regla predeterminada.

Calificadores

Cada mecanismo puede ir precedido de un calificador que determina qué hacer cuando el mecanismo coincide.

Símbolo	Nombre	Acción
+	Pass	El servidor está autorizado. Calificador predeterminado.
-	Fail	El servidor no está autorizado. El mensaje debe ser rechazado. La política más estricta.
~	SoftFail	El servidor probablemente no está autorizado. Mensaje aceptado pero marcado. Recomendado durante la implementación de SPF.
?	Neutral	Sin política definida. Se trata de forma similar a la ausencia de registro SPF.

Modificadores

Los modificadores son directivas opcionales que cambian el comportamiento de todo el registro SPF.

Modificador	Descripción
redirect	Redirige la comprobación SPF a otro dominio. Reemplaza todo el registro — no se puede usar junto con `all`.
exp	Indica el dominio con un mensaje que explica el rechazo. Poco utilizado.

Límite de 10 consultas DNS

Mecanismos include, a, mx y exists realizan consultas DNS. El estándar SPF permite un máximo de 10 consultas — superar el límite produce un error permerror.