SPF es el registro DNS que indica qué servidores pueden enviar correo en nombre de un dominio. Cuando falta, está duplicado o está abierto a todos, el correo del dominio es más fácil de falsificar y es más probable que se rechace o acabe en spam.
Qué significa
Los servidores de correo receptores consultan el registro SPF para decidir si un mensaje que dice proceder de tu dominio lo envió un servidor que tú permites. Un dominio solo puede tener un registro SPF, y debe terminar marcando (~all) o rechazando (-all) cualquier otro servidor.
Qué lo activa
Una vez al día, la comprobación DNS y seguridad del correo lee mediante DNS público los registros TXT del dominio registrado y examina los que empiezan por v=spf1. Genera una de estas tres versiones del problema:
- Más de un registro SPF (Alta): los servidores receptores consideran entonces que el SPF del dominio no es válido. Los propietarios y administradores reciben un aviso una sola vez por correo y chat.
- El registro SPF permite que cualquiera envíe correo (Alta): el registro termina en +all, lo que autoriza a todos los servidores de internet. Los propietarios y administradores reciben un aviso una sola vez por correo y chat.
- Sin registro SPF (Media): solo se genera cuando el dominio tiene registros MX, es decir, cuando recibe correo. Aparece en la aplicación y no se envía por correo.
Causas habituales
- Se configuró un servicio de newsletter, CRM o atención al cliente con su propio registro v=spf1 en lugar de añadirlo al existente.
- Un registro terminado en +all se copió de una plantilla o se añadió para evitar fallos de entrega.
- Se trasladó el correo a un nuevo proveedor sin publicar el registro SPF que este pedía.
Cómo solucionarlo
- Enumera todos los servicios que envían correo en nombre del dominio: tu proveedor de buzones, tu herramienta de newsletter, tu sitio web, tu servicio de atención al cliente y tu software de facturación. La guía de configuración de cada uno indica el include que debes usar.
- En tu proveedor de DNS, deja un único registro TXT que empiece por v=spf1 y los incluya a todos, por ejemplo v=spf1 include:_spf.google.com include:sendgrid.net ~all, y elimina los demás.
- Termínalo con ~all o -all, nunca con +all, y limítalo a 10 consultas DNS o menos (cada include cuenta), o los servidores receptores lo tratarán como fallido de todos modos.
- Cuando SPF sea correcto, añade también un registro DMARC. Consulta Sin registro DMARC.
Cuándo se resuelve
El problema desaparece tras la siguiente comprobación diaria que ya no lo detecte, y su acción desaparece del plan de acción 7 días después.
Si marcas la acción como hecha y el problema se sigue detectando 14 días después, vuelve como «La corrección no funcionó». Consulta Usar el plan de acción.