SPF (Sender Policy Framework) es un registro DNS de tipo TXT. Enumera qué servidores están autorizados a enviar correo en nombre de un dominio.
Cuando llega un mensaje, el servidor receptor consulta este registro. Comprueba si la IP que envió el correo figura en la lista de servidores autorizados. Si no figura, el correo se marca como posible remitente falsificado.
El estándar está definido en el RFC 7208, publicado por el IETF en 2014.
Cómo se declara la autorización
El dominio publica un único registro TXT que empieza por v=spf1. Ese registro enumera las fuentes legítimas de correo:
- Direcciones IP concretas.
- Rangos de red.
- Otros dominios incluidos mediante el mecanismo
include. - Una regla final que indica cómo tratar lo que no encaja.
Esa regla final suele ser ~all (fallo leve: el correo se marca pero se entrega) o -all (fallo duro: el correo se rechaza).
Un error común es superar el límite de diez consultas DNS que impone el estándar. Encadenar demasiados include invalida todo el registro. Por eso conviene revisar el SPF cada vez que se añade un proveedor de envío nuevo.
La primera capa del trío de autenticación
SPF es la primera de las tres capas que protegen el correo de un dominio:
- SPF autoriza servidores de envío por su IP.
- DKIM firma criptográficamente el contenido del mensaje.
- DMARC define qué hacer cuando SPF o DKIM fallan, y genera informes.
Las tres se publican como registros en el DNS y se refuerzan entre sí. SPF por sí solo no protege contra la suplantación visible para el destinatario. Por eso siempre se despliega junto a DKIM y DMARC.
Cómo lo usamos en SMedialab
Configuramos el registro SPF en la zona DNS de cada dominio que alojamos en nuestros VPS con panel Hestia. Incluimos únicamente las fuentes de correo legítimas del cliente:
- Nuestro propio servidor de envío.
- Cualquier servicio externo que use para boletines o transaccionales.
Vigilamos el límite de consultas DNS para que el registro no se invalide al sumar proveedores. Y lo coordinamos con DKIM y DMARC para que las tres capas queden alineadas.
Como gestionamos el dominio, el correo y el DNS de estos clientes, mantenemos el SPF actualizado cada vez que cambia su infraestructura de envío.
Esto forma parte de nuestro alojamiento web gestionado. En concreto, del hosting de correo y de la gestión de dominios y DNS, donde vive el registro SPF.
¿No sabes qué servidores envían correo con tu dominio? Contáctanos y auditamos tu SPF junto al resto de la autenticación.