[Respuesta rápida]
Un registro SPF es un registro TXT único en su dominio que comienza con v=spf1, enumera los remitentes autorizados con mecanismos como include:, ip4: e ip6:, y termina con un calificador all. Ejemplo: v=spf1 include:_spf.google.com ip4:203.0.113.10 -all .
Hechos clave
- ›Mecanismos: ip4, ip6, a, mx, incluyen, existe; modificador: redirigir.
- ›Calificadores: + aprobado, ~ softfail , - fallido,? neutral.
- ›Mantenga un máximo de 10 búsquedas DNS y 255 caracteres por cadena.
- ›Evite ptr y +all .
Revisado por el equipo de investigación EmailAuth
Un registro SPF es un registro DNS TXT único que enumera todos los servidores y servicios autorizados para enviar correo electrónico para su dominio. Comienza con la etiqueta de versión v=spf1, contiene una serie de mecanismos que definen las fuentes autorizadas y termina con un mecanismo completo que establece la respuesta predeterminada para todo lo que no figura en la lista. Los servidores de correo receptores leen este registro para decidir si un servidor conectado puede enviar como su dominio.
Ejemplo de registro SPF
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all
Los mecanismos explicados.
Cada mecanismo describe una forma de autorizar a un remitente. El receptor los evalúa de izquierda a derecha y se detiene en el primer partido. Algunos mecanismos activan búsquedas DNS y cuentan para el límite de 10 búsquedas establecido por RFC 7208 .
- incluir: extrae el registro SPF de otro dominio, común para proveedores como _spf.google.com , y cuenta como una búsqueda.
- ip4: autoriza una dirección o rango IPv4 específico, sin costo de búsqueda DNS .
- ip6: autoriza una dirección o rango IPv6 específico, sin costo de búsqueda DNS .
- a: autoriza las IP en el registro A del dominio y cuenta como una búsqueda.
- mx: autoriza los servidores de correo en los registros MX del dominio y cuenta como una búsqueda.
- all: el catch -all al final que decide qué sucede con las fuentes no listadas.
Hardfail versus softfail : -all y ~all
El clasificatorio frente a todos cambia lo estricto que es tu récord. Utilice -all (hardfail) para indicar a los receptores que cualquier servidor que no esté en la lista no está autorizado y que el mensaje debe rechazarse o tratarse como fallido. Use ~all ( softfail ) para indicar que los servidores no listados probablemente no estén autorizados pero deben aceptarse y marcarse, lo cual es útil durante las pruebas. Un hardfail es la postura más fuerte una vez que se está seguro de que todos los remitentes legítimos están incluidos. Evite +all , que autoriza a todos y frustra el propósito.
Softfail durante la prueba
Comience con ~all para observar los resultados sin bloquear el correo, luego pase a -all una vez que se confirme cada remitente.
Un registro, cuida tus búsquedas
Un dominio debe publicar exactamente un registro SPF . Dos registros SPF TXT provocan un permerror . A medida que agrega proveedores, cada inclusión se expande a más búsquedas y los servicios populares se acumulan rápidamente. Cuando se cruzan 10 búsquedas, el registro falla silenciosamente para el correo legítimo. EmailAuth SmartSPF aplana sus cadenas de inclusión en un registro optimizado y mantiene los rangos de IP de proveedores para Microsoft 365 , Google Workspace , Salesforce y SendGrid sincronizados automáticamente. Un análisis de dominio gratuito muestra sus mecanismos actuales y el recuento de búsquedas. Empareje SPF con DKIM y DMARC para que la alineación se mantenga incluso cuando se reenvía correo.
Preguntas frecuentes
¿Cuál es la diferencia entre -all y ~all en un registro SPF ?
-all es un hardfail que indica a los receptores que rechacen o fallen cualquier servidor que no figure en el registro. ~all es un softfail que acepta remitentes no listados pero los marca como sospechosos. Utilice ~all durante la prueba y -all una vez que se incluyan todos los remitentes legítimos.
¿Puedo tener más de un registro SPF ?
No. Un dominio debe publicar exactamente un registro SPF TXT . Dos o más registros SPF provocan un permerror e interrumpen la autenticación. Fusione todas las fuentes en un solo registro comenzando con v=spf1.
¿Los mecanismos ip4 e ip6 cuentan para el límite de 10 búsquedas?
No. ip4 e ip6 autorizan direcciones directamente y no requieren resolución DNS , por lo que no consumen búsquedas. Mecanismos como include, a, mx, ptr y exist cuentan para el límite de 10.
¿Qué hace el mecanismo de inclusión?
El mecanismo de inclusión importa el registro SPF de otro dominio, que es la forma en que autorizas a remitentes externos como Google Workspace o SendGrid . Cada inclusión cuenta como al menos una búsqueda DNS , y cualquier inclusión anidada dentro de ella agrega más.
¿Cómo reviso mi registro SPF ?
Utilice un corrector SPF . Recupera el registro, expande cada inclusión y cuenta las búsquedas DNS con respecto al límite de 10.
¿Cómo combino registros SPF ?
Fusione los mecanismos de ambos registros en un registro v=spf1 y mantenga uno solo al final.
¿Debo usar ~all o -all ?
Utilice ~all mientras confirma cada remitente, luego -all . Con DMARC en p=reject, cualquiera de los dos funciona porque DMARC toma la decisión final.
[ SPF guía ]
Procedencia de la empresa
Por qué las principales instituciones financieras y gobiernos retiraron sus paneles de seguridad de correo electrónico.
Las plataformas tradicionales de autenticación de correo electrónico le venden un panel y piden a sus ingenieros que hagan el trabajo. En entornos de alto riesgo, la supervisión manual significa retrasos en la aplicación, cambios en la configuración y dominios en la sombra no monitoreados.
EmailAuth es la plataforma de procedencia de correo electrónico agente. Nuestros agentes hacen cumplir p=reject, mantenga alineados a los remitentes externos y mueva sus dominios al máximo RFC 9989 cumplimiento, el nuevo estándar DMARC , con auditabilidad humana.
SaaS · Arrendamiento dedicado · Air-gapped on-premise · Cifrado BYOK