netlupaComprobar el registro SPF de un dominio
El SPF dice qué servidores pueden enviar correo de tu dominio. Escríbelo para revisar su sintaxis y cuántas consultas DNS gasta.
Cómo se lee un registro SPF
Un SPF es un registro TXT que empieza por «v=spf1» y sigue con una lista de mecanismos que se evalúan de izquierda a derecha. Por ejemplo:
- v=spf1 include:_spf.google.com ip4:203.0.113.10 -all
Significa: autoriza a los servidores de Google, a la IP 203.0.113.10 y rechaza todo lo demás. Cada mecanismo puede llevar delante un calificador: + (autorizar, el de por defecto), - (rechazar), ~ (fallo leve) o ? (neutral).
El límite más importante es el de 10 consultas DNS: include, a, mx, ptr, exists y redirect gastan una cada uno, también los que haya dentro de los include. Si se supera, el SPF da error y es como no tenerlo. La herramienta los cuenta todos por ti.
Cada registro, en detalle
Preguntas frecuentes
¿Cómo añado un proveedor nuevo a mi SPF?
Añade su include al registro que ya tienes, antes del «all» final, por ejemplo: v=spf1 include:_spf.google.com include:sendgrid.net ~all. No crees un segundo registro SPF: con dos, falla.
¿Qué hago si supero las 10 consultas?
Quita los include de servicios que ya no uses, sustituye los que puedas por sus bloques ip4/ip6 o usa un subdominio distinto para los envíos masivos, con su propio SPF.
¿Cuál es mi selector DKIM?
Abre un correo que hayas enviado, mira su código fuente o cabeceras originales y busca DKIM-Signature: el valor de «s=» es el selector y el de «d=» el dominio. Google Workspace suele usar «google» y Microsoft 365 «selector1» y «selector2».
¿Es mejor «~all» o «-all»?
Con DMARC en marcha, la diferencia práctica es pequeña, porque decide la política DMARC. «-all» es más estricto; «~all» es más tolerante con reenvíos y servicios olvidados. Si no tienes DMARC, «-all» protege más.
He cambiado el DNS y la herramienta no lo ve, ¿por qué?
Los registros DNS se guardan en caché el tiempo que indica su TTL (a menudo una hora). Espera ese tiempo y vuelve a comprobarlo. Comprueba también que el registro está en el dominio correcto (por ejemplo, _dmarc.tudominio.com para DMARC).
¿Necesito SPF y DMARC en un dominio que no envía correo?
Sí, y es muy recomendable: publica «v=spf1 -all» y «v=DMARC1; p=reject;» para que nadie pueda usar ese dominio para enviar correos falsos.
¿Guardáis los dominios que compruebo?
No. Consultamos el DNS público en el momento, con nuestro propio resolvedor, y no guardamos ni el dominio ni el resultado.