SPF: qué es, cómo funciona y cómo crear el registro
La lista que dice qué servidores pueden enviar emails con tu dominio
SPF (Sender Policy Framework) es un registro de tu DNS que indica qué servidores pueden enviar emails en nombre de tu dominio. Cuando llega un correo, el servidor que lo recibe consulta esa lista. Si el remitente no aparece, sospecha.
Piensa en la lista de invitados de una fiesta. Quien está en ella entra; quien no, se queda en la puerta o pasa con cuidado.
Sin esa lista, cualquiera podría enviar correos haciéndose pasar por tu empresa.
¿Qué es SPF?
Es un estándar de autenticación de correo definido en la RFC 7208 (2014). Se publica como un registro TXT en el DNS de tu dominio y empieza siempre por v=spf1.
Su objetivo es frenar la suplantación del remitente. Es uno de los tres pilares de la autenticación de correo, junto con DKIM y DMARC.
¿Cómo funciona SPF?
La comprobación ocurre en segundos, cada vez que un servidor recibe un correo.
1. Tu servidor envía el email
El mensaje sale desde una IP concreta: la de tu servidor de correo o la de tu plataforma de email marketing.
2. El receptor mira el dominio del remitente técnico
Lee el dominio de la dirección de retorno (Return-Path), la que recibe los rebotes. No es siempre la misma que ve el destinatario en el campo «De».
3. Consulta el registro en tu DNS
Busca el TXT que empieza por v=spf1 en ese dominio y obtiene la lista de servidores autorizados.
4. Compara la IP y decide
Si la IP está en la lista, el resultado es spf=pass. Si no lo está, el resultado depende de cómo termine tu registro: fail, softfail o neutral.
Cómo es un registro SPF
Un ejemplo habitual:
v=spf1 a mx include:spf.ipzmarketing.com -all
Cada parte tiene un significado:
| Parte | Qué indica | Ejemplo |
|---|---|---|
| v=spf1 | Versión (obligatoria, siempre al principio) | v=spf1 |
| a | Autoriza la IP del dominio | a |
| mx | Autoriza los servidores de correo del dominio | mx |
| ip4 / ip6 | Autoriza una IP o un rango concreto | ip4:192.0.2.10 |
| include | Autoriza los servidores de otro proveedor | include:dominio-del-proveedor.com |
| all | Qué hacer con el resto (siempre al final) | -all |
Qué significan -all, ~all y ?all
El final del registro le dice al receptor qué hacer con los servidores que no están en tu lista:
| Final | Resultado | Qué suele hacer el receptor |
|---|---|---|
| -all | Fail (fallo) | Rechazar el correo o enviarlo a spam |
| ~all | Softfail (fallo leve) | Aceptarlo, pero marcarlo como sospechoso |
| ?all | Neutral | No tener en cuenta el resultado |
Si ya tienes todos tus servicios de envío en la lista, usa -all. Si no estás seguro, empieza con ~all y revisa tus envíos antes de endurecerlo. Evita +all: autoriza a cualquier servidor del mundo.
¿Por qué es tan importante?
Porque los grandes proveedores ya lo exigen. Desde febrero de 2024, Gmail y Yahoo piden SPF o DKIM a todos los remitentes, y los tres protocolos a quien envía más de 5.000 correos al día. Microsoft aplica requisitos parecidos en Outlook desde mayo de 2025.
También protege tu dominio del phishing y mejora tu entregabilidad. Un dominio sin este registro es más fácil de suplantar y transmite menos confianza.
Eso sí, tiene dos límites. Comprueba el Return-Path, no el «De» visible, y falla cuando otro servidor reenvía el correo. Por eso se combina con DKIM y DMARC.
Autentica tu dominio y llega a la bandeja de entrada
Configura SPF, DKIM y DMARC en Mailrelay y envía hasta 80.000 emails al mes gratis a 20.000 contactos.
Cómo crear un registro SPF paso a paso
Solo necesitas acceso al panel DNS de tu dominio y la lista de servicios que envían en tu nombre.
1. Haz la lista de quién envía con tu dominio
Incluye tu correo corporativo, tu plataforma de email marketing, el CRM, la tienda online o la herramienta de facturación.
2. Reúne los include de cada proveedor
Cada servicio te indica el suyo en su ayuda. El de Mailrelay lo tienes al final de esta página.
3. Crea o edita el TXT en tu DNS
Escribe un único registro con todos ellos y termínalo en -all o ~all. Si ya tienes uno, añade el include nuevo; no crees otro.
4. Comprueba que funciona
Envíate un email a Gmail y abre «Mostrar original». Tienes que ver SPF: PASS. También puedes usar herramientas como MXToolbox.
Errores frecuentes al configurarlo
El más habitual es tener dos registros de este tipo en el mismo dominio. Los receptores lo tratan como un error y la comprobación falla.
Otros fallos comunes:
- superar el límite de 10 consultas DNS (cada include, a o mx cuenta);
- olvidar un servicio que envía en tu nombre, como el CRM;
- usar +all, que autoriza a cualquiera;
- poner el all en medio del registro y no al final.
Cómo configurar SPF en Mailrelay
En Mailrelay basta con añadir include:spf.ipzmarketing.com a tu registro. Si aún no tienes ninguno, usa el ejemplo de la sección «Cómo es un registro SPF».
Después configura también el DKIM y el DMARC, y comprueba que todo está correcto en Configuración → Autenticación de email. Tienes los tres registros juntos en la guía del dominio de envío.
Si tienes dudas, el soporte te ayuda por chat, ticket o teléfono en todos los planes, también en la cuenta gratuita.
Envía campañas autenticadas con tu dominio
Añade el registro en minutos y, si te atascas, el soporte te ayuda por chat, ticket o teléfono.
Preguntas frecuentes sobre SPF
Estas son las dudas más habituales sobre este registro.
¿Qué significa SPF?
Sender Policy Framework: marco de políticas del remitente. Es la lista de servidores autorizados a enviar correo con tu dominio.
¿Qué diferencia hay entre -all y ~all?
Con -all, los correos de servidores no autorizados fallan y suelen rechazarse. Con ~all, fallan de forma leve y normalmente se aceptan marcados como sospechosos.
¿Puedo tener dos registros SPF?
No. Solo puede haber uno por dominio. Si usas varios proveedores, añade todos sus include en el mismo registro.
¿Qué pasa si supero las 10 consultas DNS?
El receptor da un error permanente (permerror) y el correo no supera la comprobación. Reduce los include que no uses o sustituye alguno por sus IP.
¿Cómo sé si mi dominio tiene SPF?
Envíate un email a Gmail y abre «Mostrar original». Si aparece SPF: PASS, está bien configurado. También puedes consultar el TXT de tu dominio con MXToolbox.