[Respuesta rápida]
SPF (Sender Policy Framework) es un registro DNS TXT que enumera los servidores y servicios de correo autorizados para enviar correo electrónico para su dominio. Los receptores comparan la IP del servidor emisor con esta lista. Está definido en RFC 7208 y es una de las tres comprobaciones que requieren Gmail y Yahoo .
Hechos clave
- ›Publicado como un registro TXT en el dominio raíz, comenzando con v=spf1.
- ›Sólo un registro SPF por dominio; dos registros causan un PermError.
- ›Máximo 10 mecanismos de consulta de DNS (incluyen, a, mx, ptr, existe, redirigir).
- ›Termina con ~all ( softfail ) o -all (falla).
- ›SPF verifica el remitente del sobre ( Return-Path ), no la dirección De remitente visible; DMARC agrega ese enlace.
Revisado por el equipo de investigación EmailAuth
SPF (Sender Policy Framework) es un estándar de autenticación de correo electrónico, definido en RFC 7208 , que permite al propietario de un dominio publicar la lista de servidores de correo autorizados a enviar correo electrónico en nombre de ese dominio. Cuando un servidor receptor recibe un mensaje, verifica la dirección IP del servidor emisor con el registro SPF publicado del dominio en DNS . Si la IP está autorizada, SPF pasa. Si no es así, el receptor puede tratar el mensaje como sospechoso o rechazarlo. SPF es uno de los tres estándares básicos que protegen un dominio contra la suplantación de identidad, junto con DKIM y DMARC .
Cómo funciona SPF paso a paso
SPF opera durante la conversación SMTP , antes de que se acepte completamente el cuerpo del mensaje. La verificación se ejecuta en el dominio en Return-Path (el remitente del sobre), no en la dirección De remitente visible, lo cual es una distinción importante para la alineación DMARC . El servidor receptor lee el registro SPF , resuelve los mecanismos que contiene y compara la IP de conexión con los rangos autorizados.
- Un servidor de envío se conecta y anuncia el dominio del remitente del sobre.
- El receptor consulta DNS para el registro SPF TXT de ese dominio.
- El receptor evalúa cada mecanismo en orden hasta que uno coincide.
- Una coincidencia devuelve pasa, falla, softfail o neutral según el clasificador.
- El receptor aplica su propia política y DMARC utiliza el resultado para la alineación.
El límite de búsqueda de 10 DNS
RFC 7208 limita la evaluación SPF a 10 búsquedas DNS por verificación. Mecanismos como include, a, mx, ptr y exist cada uno consumen búsquedas, y cada inclusión puede desencadenar más búsquedas anidadas dentro del registro de terceros. Los remitentes populares como Google Workspace , Microsoft 365 , Salesforce y SendGrid agregan cada uno sus propias cadenas, por lo que un dominio con un puñado de proveedores puede cruzar el límite rápidamente. Cuando la evaluación supera las 10 búsquedas, el receptor devuelve un permerror , que la mayoría de los sistemas tratan como una falla.
Por qué el límite muerde
Cruza 10 búsquedas y SPF devuelve permerror . El correo legítimo de sus propios proveedores aprobados puede fallar en la autenticación sin que usted pueda ver ningún error.
Dónde termina SPF y comienzan DKIM y DMARC
SPF comprueba el servidor que se conecta, por lo que no sobrevive al reenvío. Cuando un buzón reenvía un mensaje, la nueva IP de conexión es el reenviador, no su servidor, y SPF se rompe. DKIM firma el contenido del mensaje con una clave criptográfica que viaja con el correo electrónico, para que pueda sobrevivir al reenvío. DMARC une ambos al requerir que SPF o DKIM pasen y se alineen con el dominio De visible, y les dice a los receptores qué hacer cuando fallan. Desde las reglas de Google y Yahoo de 2024, los remitentes masivos deben autenticarse con SPF y DKIM y publicar DMARC .
Arreglando el desbordamiento de búsqueda con SmartSPF
EmailAuth SmartSPF resuelve el límite de 10 búsquedas con aplanamiento dinámico. Amplía su cadena de inclusión completa, la aplana en un registro optimizado y mantiene sincronizados los rangos de IP de remitentes de terceros para Salesforce , SendGrid , Microsoft 365 y Google Workspace a medida que esos proveedores cambian su infraestructura. Un escaneo de dominio gratuito expande su cadena de inclusión y cuenta sus búsquedas actuales para que pueda ver exactamente dónde se encuentra.
Preguntas frecuentes
¿Qué significa SPF ?
SPF significa Marco de políticas del remitente. Es un estándar de autenticación de correo electrónico definido en RFC 7208 que permite a un dominio publicar qué servidores de correo pueden enviar en su nombre. Los servidores receptores lo utilizan para detectar remitentes falsificados.
¿ SPF detiene toda falsificación de correo electrónico?
No. SPF solo verifica el dominio del remitente del sobre con las direcciones IP autorizadas y falla cuando se reenvía el correo. Para proteger completamente la dirección De visible, también necesita DKIM y una política DMARC que imponga la alineación.
¿Cuál es el límite de búsqueda DNS SPF 10?
RFC 7208 permite un máximo de 10 búsquedas DNS cuando un receptor evalúa un registro SPF . Mecanismos como include, a y mx consumen búsquedas y los registros de proveedores anidados agregan más. Exceder 10 devuelve un permerror , que se trata como un error.
¿Se seguirá exigiendo SPF a partir de 2024 y en adelante?
Sí. Desde 2024, Google y Yahoo exigen que los remitentes masivos autentiquen el correo electrónico, y SPF es una parte fundamental de ello junto con DKIM y DMARC . Omitirlo corre el riesgo de que su correo sea filtrado o rechazado.
¿Qué es un registro SPF ?
Un registro DNS TXT que enumera los servidores autorizados para enviar correo electrónico para su dominio, por ejemplo v=spf1 include:_spf.google.com ~all .
¿Cómo agrego varios registros SPF ?
No puedes. Combine todos los remitentes en un solo registro: v=spf1 include:_spf.google.com include:sendgrid.net ~all .
¿Cómo creo un registro SPF ?
Enumere todos los servicios que envían correo por usted, agregue la inclusión o IP de cada proveedor y finalice con ~all o -all . Un generador SPF lo crea por usted.
¿Cuál es el límite de búsqueda SPF 10?
La evaluación SPF puede realizar como máximo 10 búsquedas DNS . Superarlo devuelve PermError y SPF falla. Elimine las inclusiones no utilizadas o aplane el registro.
¿Qué significa v=spf1 include:_spf.google.com ~all ?
Autoriza a los servidores Google Workspace a enviar datos a su dominio y suspende todo lo demás.
[ SPF guía ]
Procedencia de la empresa
Por qué las principales instituciones financieras y gobiernos retiraron sus paneles de seguridad de correo electrónico.
Las plataformas tradicionales de autenticación de correo electrónico le venden un panel y piden a sus ingenieros que hagan el trabajo. En entornos de alto riesgo, la supervisión manual significa retrasos en la aplicación, cambios en la configuración y dominios en la sombra no monitoreados.
EmailAuth es la plataforma de procedencia de correo electrónico agente. Nuestros agentes hacen cumplir p=reject, mantenga alineados a los remitentes externos y mueva sus dominios al máximo RFC 9989 cumplimiento, el nuevo estándar DMARC , con auditabilidad humana.
SaaS · Arrendamiento dedicado · Air-gapped on-premise · Cifrado BYOK