¿Qué es SPF (Sender Policy Framework)?

Definición

Sender Policy Framework es uno de los tres estándares centrales de autenticación de correo, junto con DKIM y DMARC. Aborda una debilidad básica del correo: por defecto, cualquiera puede enviar un mensaje que afirme proceder de cualquier dominio, porque los protocolos de correo originales nunca incorporaron una forma de demostrar quién es el remitente real. SPF cierra parte de esa brecha dando al propietario de un dominio una forma de declarar, públicamente y en un formato legible por máquina, exactamente qué servidores tienen permiso para enviar correo en nombre del dominio.

Esa declaración reside en el Domain Name System, el mismo directorio global que traduce los nombres de dominio en direcciones de red. El propietario del dominio publica un registro DNS especial que nombra a los remitentes autorizados. Cuando llega un mensaje, el servidor de correo receptor consulta ese registro y lo compara con el servidor que realmente entregó el mensaje. Si el servidor emisor está en la lista, el mensaje pasa SPF. Si no lo está, el mensaje falla SPF, lo cual es un fuerte indicio de que el correo puede estar falsificado. SPF no cifra nada ni comprueba el contenido del mensaje. Responde a una pregunta concreta: ¿se envió este mensaje desde un servidor que el propietario del dominio aprobó?

Cómo funciona

Una política SPF se publica como un único registro DNS TXT en el dominio. El registro siempre empieza con la etiqueta de versión v=spf1, seguida de una serie de mecanismos que describen a los remitentes autorizados, y normalmente termina con un mecanismo all que define el resultado por defecto. Un registro sencillo podría ser v=spf1 include:_spf.google.com -all, que autoriza los servidores de correo de Google Workspace y rechaza todo lo demás.

Los mecanismos son los bloques de construcción. Los mecanismos ip4 e ip6 autorizan direcciones o rangos de direcciones concretos directamente. El mecanismo a autoriza los servidores que aparecen en los registros de dirección del dominio, y mx autoriza los servidores listados como los servidores de correo entrante del dominio. El mecanismo include es el más común en la práctica, ya que incorpora la política SPF de otro proveedor, que es como un dominio delega el envío a servicios como Google, Microsoft o una plataforma de correo. Cada mecanismo puede llevar un calificador que fija el resultado cuando coincide. Un signo más, que es el valor por defecto, significa pass. Un signo menos significa fail, una tilde significa softfail, que es un aviso suave, y un signo de interrogación significa neutral. El mecanismo all del final captura todos los servidores que no coincidieron, así que -all es un rechazo duro de cualquier cosa no listada, mientras que ~all es una señal más suave.

Cuando un servidor receptor evalúa SPF, comprueba la dirección envelope-from, que es el return-path declarado durante el intercambio SMTP, y para los mensajes de rebote con un return-path vacío comprueba en su lugar la identidad HELO. El estándar impone una restricción importante: evaluar un registro no puede usar más de diez consultas de DNS, y mecanismos como include, a, mx y exists consumen una cada uno. Si un registro necesita más de diez, produce un PermError, que los receptores pueden tratar como un fallo, así que los registros SPF deben mantenerse compactos. SPF también tiene límites estructurales. Se rompe cuando el correo se reenvía, porque el servidor que reenvía no está en la lista del dominio original, y, fundamentalmente, solo valida la dirección envelope-from, no la dirección From visible que el destinatario ve realmente.

Por qué importa para la entregabilidad del correo

SPF es ya un requisito básico y no un extra opcional. Los proveedores de buzones tratan una comprobación SPF superada como una señal positiva de confianza y tratan un registro ausente o fallido como un motivo de sospecha, lo que afecta directamente a si el correo llega a la bandeja de entrada o a la carpeta de spam. Desde los requisitos para remitentes de 2024 introducidos por Google y Yahoo, se espera que los remitentes masivos se autentiquen con SPF, y un dominio sin un registro SPF válido puede ver cómo su correo se limita o se rechaza directamente.

SPF también importa porque es un requisito previo para DMARC, la capa de política que vincula la autenticación con la dirección From visible. DMARC funciona comprobando si SPF o DKIM pasaron y si el resultado se alinea con el dominio From. Sin un registro SPF bien configurado, un dominio no puede lograr la alineación de DMARC a través de SPF, lo que debilita su protección global. Al mismo tiempo, es importante ser realista sobre lo que SPF no puede hacer. Como ignora la cabecera From visible y se rompe con el reenvío, SPF por sí solo no puede detener a un suplantador decidido. Es una capa necesaria de una defensa de tres capas, y aporta todo su valor solo cuando DKIM y DMARC están junto a él.

Cómo lo gestiona VeriMails

SPF y la verificación de correo resuelven dos mitades distintas del mismo problema de entregabilidad. SPF autentica el correo que envías para que los servidores receptores confíen en que procede genuinamente de ti. La verificación de correo limpia la lista a la que envías, de modo que solo envíes a direcciones reales y alcanzables. Una buena ubicación en bandeja necesita que ambas funcionen juntas, y ninguna sustituye a la otra.

VeriMails se centra en el lado del destinatario. Cada dirección que envías se comprueba mediante validación de sintaxis, una consulta de MX y DNS, un handshake SMTP en vivo, detección de catch-all, detección de direcciones desechables y detección de roles, de modo que las direcciones no válidas se eliminan antes de que puedan rebotar y arrastrar una reputación que los buenos registros de SPF, DKIM y DMARC existen para proteger. Para ayudar también en el lado de la autenticación, VeriMails ofrece un generador de SPF gratuito que construye un registro sintácticamente correcto para tu dominio y tus servicios de envío, manteniéndolo dentro del límite de diez consultas. Puedes verificar una lista a través de la API REST o una subida de CSV por lotes, con categorías de entregabilidad claras para tomar decisiones de campaña. La verificación empieza en $0.0019 por correo, con 10,000 créditos por $19 y planes anuales desde $12.50/month con facturación anual, y cada cuenta empieza con 100 créditos gratis, sin tarjeta de crédito, que nunca caducan.

Preguntas frecuentes