¿Qué es SPF?

También llamado: Sender Policy Framework

Definición

SPF (Sender Policy Framework) es un registro DNS en el que un dominio publica qué servidores tienen permiso para enviar correo en su nombre. Los servidores que reciben el correo lo consultan para detectar suplantaciones.

Cualquiera puede enviar un correo diciendo que viene de @example.com. SPF permite al dueño del dominio publicar la lista de servidores autorizados; el servidor que recibe el mensaje comprueba si la IP que se lo ha entregado está en esa lista.

Ejemplo

SPF se publica como un registro TXT en el propio dominio:

example.com.  3600  IN TXT  "v=spf1 ip4:203.0.113.25 include:_spf.google.com ~all"

Se lee de izquierda a derecha:

v=spf1 — es un registro SPF.
ip4:203.0.113.25 — esta IP puede enviar (por ejemplo, tu servidor web, que manda los formularios).
include:_spf.google.com — también los servidores que Google autorice (si usas Google Workspace).
~all — el resto, sospechoso (softfail).

El final: `~all`, `-all` o `?all`

Final	Significado	Efecto habitual
`-all`	Fallo: nadie más está autorizado	Rechazo o spam
`~all`	Fallo suave: probablemente no autorizado	Se acepta, pero marcado
`?all`	Neutral: no se afirma nada	Ninguno; casi inútil

Si ya tienes DMARC, ~all es suficiente y más seguro ante olvidos: será DMARC quien decida qué hacer.

Límites importantes

Solo un registro SPF por dominio. Si hay dos v=spf1, el resultado es un error y ambos se ignoran. Para añadir un servicio, se añade un include: al registro existente.
Máximo 10 consultas DNS. Cada include, a, mx, exists y redirect cuenta, incluidas las que hacen los include por dentro. Si se supera, SPF falla (permerror).
SPF comprueba el remitente del sobre (la dirección Return-Path), no el «De:» que ve el usuario. Por eso por sí solo no basta contra la suplantación y se combina con DKIM y DMARC.

Errores habituales

Crear un segundo registro SPF al contratar un servicio nuevo (un CRM, una herramienta de newsletters…) en lugar de ampliar el existente.
Olvidar el servidor web: si WordPress envía correo desde tu hosting y su IP no está en el SPF, esos correos fallarán.

¿Tienes un producto o servicio relacionado con SPF? Anúnciate en este término.

Términos relacionados

Categorías: Correo Seguridad