Generador de registros SPF
Elige los servicios que envían correo en nombre de tu dominio, añade las direcciones IP de tus propios servidores y elige una política. La herramienta crea un registro TXT v=spf1 válido, cuenta las consultas DNS frente al límite de 10 y te indica exactamente dónde publicarlo.
Última actualización:
Tu registro SPF
Añádelo a tu DNS
- Tipo
- TXT
- Host / Nombre
- @ (example.com)
- Valor
- TTL
- 3600 (1 hora, o el valor predeterminado de tu proveedor)
Sustituye cualquier registro TXT existente que empiece por v=spf1: un dominio solo puede tener uno. Después verifícalo con el Comprobador de registros SPF.
Qué significa cada parte
Cómo usar Generador de registros SPF
- Introduce tu dominio para que las instrucciones de DNS muestren el nombre de host correcto.
- Marca cada servicio que envía correo con tu dominio: tu proveedor de buzón, herramienta de newsletter, servicio de soporte, plataforma de tienda, etc.
- Añade tus propios servidores: direcciones IP o rangos CIDR, y marca mx o a si tu servidor de correo es el mismo que esos hosts.
- Elige una política. Empieza con ~all (soft fail) y cambia a -all cuando tus informes DMARC estén limpios.
- Copia el registro TXT y añádelo en tu proveedor de DNS como un único registro TXT en la raíz de tu dominio (@), sustituyendo cualquier registro SPF anterior.
Referencia de sintaxis SPF
Un registro SPF es un registro TXT que empieza por v=spf1, seguido de mecanismos que se comprueban de izquierda a derecha. El primer mecanismo que coincide con la IP de envío decide el resultado. Cada mecanismo puede llevar un calificador: + pass (el predeterminado), - fail, ~ soft fail o ? neutral.
| Término | Coincide cuando… | Consultas DNS |
|---|---|---|
ip4:203.0.113.5 / ip4:203.0.113.0/24 | La dirección IPv4 del remitente es igual a la dirección o está dentro del rango | 0 |
ip6:2001:db8::/32 | La dirección IPv6 del remitente está dentro del rango | 0 |
a / a:host.example.com | La IP del remitente es una de las direcciones A/AAAA del dominio (o del host indicado) | 1 |
mx / mx:example.com | La IP del remitente es uno de los servidores MX del dominio | 1 (más hasta 10 consultas de dirección para los hosts MX) |
include:_spf.google.com | El registro SPF del dominio incluido devuelve pass | 1, más cada consulta dentro de ese registro |
exists:%{i}.bl.example.com | Existe un registro A para el nombre (normalmente construido con macros) | 1 |
ptr | El DNS inverso del remitente termina en el dominio. Obsoleto según RFC 7208: no lo uses | 1 o más |
redirect=example.com | Modificador: si nada coincidió, usa en su lugar el registro SPF de otro dominio | 1 |
-all / ~all / ?all | Siempre coincide; ponlo al final como respuesta predeterminada | 0 |
Cómo no superar el límite de 10 consultas
RFC 7208 limita una evaluación SPF a 10 términos que consultan DNS, contados en todo el árbol de includes, y a 2 consultas "vacías" que no devuelven respuesta. Una pequeña empresa típica con Google Workspace, una herramienta de newsletter y un servicio de soporte queda muy por debajo del límite, pero cada servicio adicional de marketing o CRM añade sus propias consultas anidadas. Si te acercas:
- Elimina los includes de servicios que ya no uses. Los proveedores antiguos son la causa más común de permerror.
- Sustituye
aymxpor rangosip4:/ip6:explícitos cuando las direcciones de tus servidores cambien poco. - Envía el correo masivo o de marketing desde un subdominio (por ejemplo news.example.com) con su propio registro SPF. El límite se aplica por cada dominio comprobado.
- Evita los servicios de "aplanado" que copian las IP de un proveedor en tu registro, salvo que lo actualicen automáticamente: los proveedores cambian sus rangos sin previo aviso.
SPF, DKIM y DMARC juntos
SPF autoriza servidores para el remitente del sobre (Return-Path); DKIM añade una firma criptográfica vinculada a un dominio; DMARC indica a los receptores qué hacer cuando el dominio From visible no está alineado con un resultado SPF o DKIM válido. Después de publicar SPF, configura DKIM en cada servicio de envío y luego publica una política DMARC con el Generador de registros DMARC, empezando con p=none para recopilar informes.
Preguntas frecuentes
¿Qué es un registro SPF?
SPF (Sender Policy Framework, RFC 7208) es un registro TXT de tu dominio que enumera los servidores autorizados a enviar correo usando tu dominio en el remitente del sobre (Return-Path). Los servidores receptores comparan la IP de envío con él y registran pass, fail, softfail o neutral.
¿Puede un dominio tener dos registros SPF?
No. Un dominio debe publicar exactamente un registro TXT que empiece por v=spf1. Si hay dos, los receptores devuelven un permerror y SPF falla para todos los mensajes. En su lugar, combina todos los servicios en un solo registro.
¿Qué es el límite de 10 consultas DNS?
Una comprobación SPF puede generar como máximo 10 consultas DNS. Los mecanismos include, a, mx, ptr y exists y el modificador redirect cuentan como una cada uno, y también cuentan las consultas dentro de los registros incluidos. Superar el límite hace que SPF devuelva permerror. ip4, ip6 y all no cuentan.
¿Debo usar ~all o -all?
~all (soft fail) pide a los receptores que acepten pero marquen el correo de servidores no listados, lo que es más seguro mientras aún identificas todos tus remitentes. -all (hard fail) indica que los servidores no listados no están autorizados. Con DMARC configurado, la mayoría de los receptores se basan en la política DMARC, así que ambos funcionan cuando todos los remitentes están listados.
¿Basta SPF para evitar la suplantación?
No. SPF solo comprueba el remitente oculto del sobre, no la dirección From que ven las personas. Añade la firma DKIM y un registro DMARC para que los receptores puedan verificar el dominio From visible y actuar ante los fallos.
¿Cuánto tarda en funcionar un nuevo registro SPF?
En cuanto los resolvedores lo detectan. Un registro nuevo suele ser visible en minutos; si has sustituido un registro antiguo, espera hasta el TTL del registro antiguo (a menudo 1 hora) para que caduquen las cachés.
¿Cuál es la longitud máxima de un registro SPF?
Cada cadena dentro de un registro TXT puede tener como máximo 255 caracteres, pero un registro puede contener varias cadenas que se unen sin espacios. Mantén la respuesta DNS completa por debajo de 512 bytes cuando sea posible; esta herramienta divide automáticamente los registros largos en cadenas entre comillas.
¿Se prueban todas las herramientas de FreeToolCabin para comprobar su calidad y precisión?
Sí. Cada herramienta del sitio pasa pruebas automáticas en navegadores reales para comprobar que el resultado es correcto y que no hay errores. Si encuentras un fallo o tienes una sugerencia, escríbenos a [email protected] y lo revisaremos.