El SPF (Sender Policy Framework) es un registro TXT del DNS que enumera los servidores autorizados para enviar correo electrónico en nombre de un dominio, de modo que un servidor receptor pueda rechazar los mensajes que afirmen proceder de usted, pero que en realidad hayan sido enviados desde otro lugar.
Cómo funciona
Usted publica un registro TXT en su dominio que comienza por «v=spf1». Cuando un servidor recibe un correo, consulta el registro SPF del dominio que figura en el remitente del sobre del mensaje y comprueba si la dirección IP del servidor que se conecta figura en la lista. El mecanismo se define en el RFC 7208.
Un registro es una lista de mecanismos que se lee de izquierda a derecha y termina con un «all» que indica qué hacer con todos los demás:
-all: un fallo grave; el correo procedente de cualquier otro lugar no está autorizado.~all: un fallo leve; probablemente no está autorizado, trátese con recelo. Es habitual mientras se configura un dominio.?all: neutral; no indica nada en absoluto, lo que hace que el registro resulte prácticamente inútil.
El error que cometen casi todos
Un dominio solo puede tener un registro SPF. Dos registros «v=spf1» no significan que «se apliquen ambos»: se trata de un error permanente, y los destinatarios consideran que el dominio carece por completo de un SPF válido. Cuando se añade un proveedor de correo, se debe fusionar su «include:» con el registro existente, en lugar de añadir uno segundo.
La otra trampa es el límite de 10 consultas: cada «include:», «a» y «mx» supone una consulta DNS, y un registro que requiera más de diez fallará. Los dominios que hayan acumulado una herramienta de marketing, un CRM y un servicio de asistencia técnica alcanzan este límite sin darse cuenta.
Cómo comprobar el suyo
dig +short TXT yourdomain.comBusque la única línea que comience por «v=spf1».
SPF en Mailotte
mailotte.com publica un registro SPF que termina en -all, lo que supone un fallo grave. Cuando conecta su propio dominio, Mailotte le pide que publique «v=spf1 include:mailotte.com ~all», sustituyendo cualquier registro SPF que ya tenga. Se trata de un fallo «suave» a propósito: es el punto de partida seguro mientras se realiza la migración del correo del dominio, y puede ajustarlo a «-all» una vez que todo lo que se envíe desde su dominio quede cubierto por el registro.
Preguntas
¿Puede un dominio tener dos registros SPF?
No. Dos registros «v=spf1» constituyen un error permanente, y los destinatarios consideran que el dominio carece de un SPF válido. Combine todos los remitentes en un único registro.
¿Es mejor ~all o -all?
«-all» es más estricto y es el objetivo una vez que conozca todos los servidores que envían en nombre de su dominio. «~all» es la configuración más segura mientras aún está averiguándolo, ya que un remitente legítimo que se le haya olvidado se marca como sospechoso en lugar de ser rechazado.
¿Impide el SPF que alguien falsifique mi dirección «De»?
Por sí solo, no. El SPF comprueba el remitente del sobre, que el destinatario nunca ve, y no el encabezado «De» que sí ve. El DMARC es lo que vincula ambos elementos.
Términos relacionados
- DKIM — DomainKeys Identified Mail
- DMARC — Autenticación, notificación y conformidad de mensajes basados en el dominio
- Registro MX — Registro de intercambiador de correo
- Todos los términos