Cómo configurar un registro SPF para Gmail

Sin un registro SPF de Google adecuado, los agentes de transferencia de correo de Gmail pueden clasificar erróneamente tus correos electrónicos legítimos como phishing o spam. Eso es un problema si gestionas cualquier negocio en Google Workspace.

SPF (Sender Policy Framework) es un registro DNS TXT que especifica qué servidores de correo están autorizados a enviar correos electrónicos en nombre de su dominio. Actúa como un guardián, asegurando que solo los servidores designados puedan enviar correos electrónicos en su nombre. Google ahora exige la autenticación de correo electrónico para todos los remitentes, lo que hace que la configuración de SPF sea imprescindible.

Esta guía explica exactamente cómo configurar SPF en Gmail y Google Workspace; la sintaxis correcta del registro SPF de Google Mail, los pasos de verificación, los errores comunes que se deben evitar y cómo integrar DKIM y DMARC para obtener una protección completa.

¿Qué son los registros SPF de Gmail?

Un registro SPF (Sender Policy Framework) especifica qué servidores de correo están autorizados a enviar correos electrónicos en nombre de su dominio. Cuando se recibe un correo electrónico, el servidor receptor comprueba el registro SPF del dominio en la dirección «De» para verificar si el correo electrónico proviene de un servidor autorizado.

Se publica en el DNS de su dominio como un registro SPF TXT. Contiene una lista de direcciones IP o nombres de host de los servidores autorizados para enviar correos electrónicos en nombre de su dominio. Este registro puede incluir varios servidores y servicios de terceros.

Si se envía un correo electrónico desde una fuente no autorizada, el servidor receptor comprobará el registro SPF del dominio utilizando el registro DNS TXT.

La importancia de un registro SPF de Gmail

Google exige a todos los remitentes de correo electrónico que implementen la autenticación, y los remitentes masivos (más de 5000 mensajes diarios) deben tener configurados SPF, DKIM y DMARC. Ignorar estos requisitos tiene consecuencias reales. Sin un registro SPF de Google Workspace:

• Sus correos electrónicos pueden ser marcados como spam por los servidores receptores que no pueden verificar la legitimidad de su dominio.
• Tu dominio o dirección IP pueden ser incluidos en una lista de bloqueados, lo que hace que recuperar la capacidad de entrega sea mucho más difícil que configurar la autenticación desde el principio.
• La reputación de tu dominio se ve afectada por las quejas por correo electrónico no deseado , lo que se acumula con el tiempo y afecta a todos los envíos futuros.

Los registros SPF sirven como una línea de defensa crítica para su dominio contra acciones maliciosas como la suplantación de identidad en el correo electrónico y los ataques de phishing.

Más allá de la seguridad, implementar un registro SPF puede mejorar significativamente la credibilidad y fiabilidad de un dominio ante los principales proveedores de correo electrónico, como Gmail, Outlook y Yahoo. Esto aumenta directamente las posibilidades de que tus correos electrónicos lleguen a la bandeja de entrada en lugar de a la carpeta de spam.

¿Cómo funciona un registro SPF?

Un registro SPF se publica en el DNS de su dominio como un registro TXT. Es una sola línea de texto sin formato compuesta por etiquetas que especifican las direcciones IP y los nombres de dominio de sus fuentes de envío autorizadas.

Los registros SPF pueden tener hasta 255 caracteres por cadena DNS, y el tamaño total del archivo de registros TXT no debe superar los 512 bytes.

Cuando se envía un correo electrónico, el servidor receptor comprueba el registro SPF del dominio en la dirección «De» para verificar si el correo electrónico proviene de un servidor autorizado. Para ello, compara la dirección IP del servidor remitente con la lista de IP permitidas publicada en su registro SPF. Gmail comprueba automáticamente los mensajes entrantes con el registro SPF del dominio remitente para verificar su legitimidad como parte de este proceso.

Basándose en esta comprobación, el servidor de correo receptor asigna uno de los siguientes resultados:

• Pasar significa que la IP del servidor de envío aparece en el registro SPF y está autorizada para enviar correos electrónicos para el dominio.
• Fallo significa que la IP no está autorizada, lo que indica un posible suplantación de identidad por correo electrónico, y el mensaje puede ser rechazado directamente.
• Softfail significa que la IP no está autorizada explícitamente, pero el propietario del dominio ha utilizado la ~all para indicar que los servidores deben aceptar, pero probablemente marcar, los mensajes procedentes de direcciones IP no incluidas en la lista.
• Neutral significa que el dominio no afirma nada sobre si la IP está autorizada o no.
• Ninguno significa no se encontró ningún registro SPF para el dominio, por lo que no se pudo realizar ninguna comprobación de autenticación.

SPF ayuda a prevenir la suplantación de identidad en el correo electrónico proporcionando un mecanismo de autenticación que verifica si la IP del servidor de correo remitente coincide con las IP permitidas para el dominio.

Si la IP no coincide y el registro utiliza un fallo duro (-all), el mensaje se rechaza. Con un fallo suave (~all), el mensaje se acepta pero se marca como sospechoso.

Componentes de un registro SPF

Para crear e interpretar correctamente un registro SPF para Gmail o Google Workspace, es necesario comprender los mecanismos y calificadores clave que componen el registro.

Mecanismos SPF

Cada registro SPF se crea a partir de mecanismos que definen qué servidores están autorizados a enviar correos electrónicos en nombre de su dominio.

Cada mecanismo cuenta para el límite de 10 búsquedas DNS, excepto ip4 , que apunta directamente a una dirección IP y no activa una búsqueda. Al añadir un registro SPF, asegúrese de no superar este máximo para evitar errores de validación.

Calificadores SPF

Cada mecanismo puede ir precedido de un calificador que indica al servidor receptor cómo gestionar el resultado.

Para la mayoría de las configuraciones de Google Workspace, el registro SPF recomendado es v=spf1 include:_spf.google.com ~all.

El calificador de fallo suave ~all al final indica que los servidores deben aceptar, pero probablemente marcar, los mensajes procedentes de direcciones IP no incluidas en la lista. Esto le permite ver los remitentes no autorizados sin rechazar inmediatamente el correo legítimo que podría estar mal configurado.

Requisitos previos antes de configurar un registro SPF

Antes de configurar un registro SPF para Gmail, asegúrate de que tienes:

• Inventario completo de remitentes de correo electrónico: Enumere todos los servicios que envían correos electrónicos en su nombre (Google Workspace, plataformas de marketing, sistemas CRM, etc.).
• Acceso a la gestión del DNS: Proporcione acceso de administrador a la configuración DNS de su dominio.
• Comprensión de la estructura de su dominio: Asegúrese de conocer perfectamente los subdominios que envían correo electrónico.
• Comprobación del registro SPF actual: Verifique si ya existe un registro SPF.
• Documentación de servicios de terceros: Incluya declaraciones de sus proveedores de servicios de correo electrónico.

💡 Consejo profesional: Para organizaciones con múltiples remitentes externos, cree una hoja de cálculo en la que se registren los requisitos SPF de cada servicio. De este modo, se evitará superar el límite de 10 búsquedas DNS.

Cómo crear y añadir un registro SPF para Gmail

Configurar un registro SPF de correo electrónico de Google es muy sencillo. Todo el proceso se realiza fuera de Google, en la configuración DNS de tu registrador de dominios. A continuación te explicamos paso a paso cómo configurar SPF en Gmail.

Paso 1: Inicie sesión en su registrador de dominios.

Para crear un registro SPF para Google Workspace, inicia sesión en la cuenta del dominio donde compraste y gestionas tu dominio: GoDaddy, Namecheap, Cloudflare o cualquier otro proveedor de dominios que utilices.

Si no estás seguro de dónde está registrado tu dominio, consulta con tu equipo de TI o busca el registro WHOIS de tu dominio.

Paso 2: Accede a la configuración de tu DNS.

Una vez que hayas iniciado sesión, busca el área de administración de DNS.

En la configuración del DNS, busca la sección de registros TXT. Aquí es donde añadirás tu registro SPF. Un registro SPF se publica en el DNS de tu dominio como un registro TXT, por lo que no encontrarás un tipo de registro «SPF» independiente en la mayoría de los registradores.

Paso 3: Comprueba los registros SPF existentes.

Antes de añadir nada nuevo, comprueba si tu dominio ya tiene un registro SPF. Solo puedes tener un registro SPF para Gmail por dominio. Tener varios registros SPF para un mismo dominio puede provocar errores en la autenticación del correo electrónico.

Si ya existe uno, lo editarás en el siguiente paso en lugar de crear uno nuevo.

Paso 4: Crea tu registro SPF de correo electrónico de Google.

Añade un nuevo registro TXT con estos valores:

• Anfitrión/Nombre: @ (o en blanco, dependiendo de su proveedor)
• Tipo de registro: TXT
• Valor: v=spf1 include:_spf.google.com ~all
• TTL: Predeterminado (normalmente 3600)

El registro SPF recomendado para Google Workspace es v=spf1 include:_spf.google.com ~all.

Si utiliza otros servicios de correo electrónico para enviar mensajes, debe incluirlos en su registro SPF. Dado que solo puede tener un registro por dominio, combine todo en una sola línea:

v=spf1 include:_spf.google.com include:servers.mcsv.net include:sendgrid.net ~all

Algunas cosas a tener en cuenta: No exceda el máximo de 10 búsquedas DNS, cada una de las cuales incluye: desencadena al menos una, y las inclusiones anidadas también cuentan. Los registros SPF pueden tener hasta 255 caracteres por cadena DNS. Si el suyo supera este límite, la mayoría de los proveedores lo dividirán automáticamente.

Paso 5: Guardar y dejar tiempo para la propagación.

Después de crear tu registro SPF, guarda los cambios y espera hasta 48 horas para que el registro se propague.

La mayoría de los proveedores se propagan en unas pocas horas, pero la ventana completa tiene en cuenta las redes DNS más lentas. Evite realizar más cambios durante este periodo, a menos que detecte un error evidente.

Paso 6: Verifique su registro SPF

Una vez completada la propagación, para verificar su registro SPF, utilice una herramienta de verificación SPF para asegurarse de que es válido y está correctamente configurado. Hay dos formas de hacerlo:

• Herramienta de búsqueda SPF: MXToolbox, Dmarcian o Kitterman te permiten introducir tu dominio y comprobar al instante si tu registro SPF de correo de Google está publicado, es sintácticamente válido y se encuentra dentro del límite de 10 búsquedas.
• Correo electrónico de prueba: Envía un mensaje a una dirección de Gmail, ábrelo, haz clic en el menú de tres puntos, selecciona «Mostrar original» y busca spf=pass en el encabezado Authentication-Results.

Paso 7: Configurar SPF para subdominios (si procede)

Si utiliza subdominios para enviar correo electrónico (por ejemplo, marketing.tudominio.com), deberá configurar los registros SPF para cada subdominio por separado, si su proveedor lo permite.

La política SPF no se hereda del dominio raíz. Cada subdominio necesita su propio registro TXT. El proceso de configuración es idéntico; solo hay que cambiar el campo Host/Nombre de @ al subdominio.

Errores comunes en los registros SPF y cómo evitarlos

Incluso una pequeña configuración incorrecta puede romper por completo la autenticación del correo electrónico. Al configurar SPF, evite errores comunes como tener múltiples registros o una sintaxis incorrecta. Estos son los que se producen con más frecuencia.

Múltiples registros SPF en un solo dominio

Solo puede tener un registro SPF por dominio.

Si un servidor receptor encuentra dos o más, devuelve un error permanente y falla la comprobación. Si necesita autorizar servicios adicionales, combine todos incluya: en un solo registro; no cree una segunda entrada TXT.

Usar +all en lugar de ~all

El +all indica a los servidores receptores que acepten correos electrónicos de cualquier dirección IP, lo que anula por completo el propósito del SPF. Utilice siempre:

• ~todos (fallo suave): valor predeterminado recomendado por Google
• -todos (fallo grave): más estricto, rechaza directamente a los remitentes no autorizados

Superando el límite de 10 búsquedas DNS

Los registros SPF están limitados a un máximo de 10 búsquedas DNS; superar este límite provocará que la autenticación falle. Cada include, un, mxy redirect se cuenta como una búsqueda, y las inclusiones anidadas también se cuentan. Si se está acercando al límite, utilice herramientas de aplanamiento SPF para convertir las inclusiones en direcciones IP directas.

Olvidar incluir nuevas fuentes de envío

¿Ha añadido un nuevo CRM, herramienta de marketing o servicio de correo electrónico transaccional? Si no actualiza su registro SPF para incluirlos, los correos electrónicos enviados a través de esos servicios no superarán la autenticación. Supervisar regularmente su registro SPF puede ayudarle a identificar posibles problemas antes de que afecten a la capacidad de entrega del correo electrónico.

Cómo solucionar errores de SPF en Gmail

¿Ha configurado su registro SPF, ha esperado a que se propagara, pero los correos electrónicos siguen llegando a la carpeta de spam o fallando en la autenticación? Aquí tiene una lista de verificación rápida para diagnosticar y solucionar problemas comunes de SPF.

• Comprueba los encabezados del correo electrónico: Envía un correo electrónico de prueba a una dirección de Gmail, haz clic en «Mostrar original» y busca spf=pass, spf=softfailo spf=fail en el encabezado Authentication-Results.
• Realice una búsqueda SPF: Utilice MXToolbox o Dmarcian para verificar que su registro está publicado, es sintácticamente correcto y se encuentra dentro del límite de 10 búsquedas.
• Confirma que todos los remitentes estén incluidos: Asegúrese de que todos los servicios de terceros (CRM, servicios de asistencia técnica, plataformas de marketing) estén en su registro. Si se envía un correo electrónico desde una fuente que no figura en la lista, el servidor receptor comprueba su registro SPF y rechaza el mensaje.
• Comprueba si hay registros duplicados: Confirme que solo hay un registro TXT que comience por v=spf1 para su dominio; tener varios registros SPF para un solo dominio provoca errores de autenticación.
• Supervise regularmente: Revise su registro SPF después de añadir nuevas herramientas o cambiar de proveedor. Los problemas no siempre aparecen de inmediato, y detectarlos a tiempo evita problemas de entregabilidad.

Validación y supervisión de su registro SPF

Configurar tu registro SPF es solo la mitad del trabajo. Si el registro tiene un error de sintaxis, supera el límite de 10 búsquedas o caduca después de añadir un nuevo servicio de envío, tus correos electrónicos pueden empezar a fallar silenciosamente en la autenticación. La validación y supervisión periódicas garantizan que tu registro SPF para Gmail siga funcionando y que tu capacidad de entrega se mantenga intacta.

Pasos iniciales de verificación

• Puede utilizar nuestra herramienta de búsqueda SPF para comprobar al instante la configuración de su registro SPF de Gmail.
• Revise la entrada TXT de su registro SPF implementado para comprobar si el estado es válido.
• Vuelve a comprobar si el registro contiene todas las direcciones IP autorizadas y los proveedores externos que utilizas para enviar tus correos electrónicos.
• Asegúrate de no haber publicado múltiples registros SPF para un solo dominio. Si utiliza proveedores externos adicionales distintos de Google Workspace para el marketing por correo electrónico, puede utilizar el mecanismo «incluir» en el mismo registro SPF.
• Asegúrate de mantener el formato adecuado.

Si se detectan discrepancias en su registro SPF, actualícelo para eliminar estos errores y vuelva a verificar su configuración.

Mejores prácticas de supervisión continua

• Comprobaciones periódicas del SPF: Revise mensualmente su registro SPF para comprobar que sea preciso y esté completo.
• Análisis de encabezados de correo electrónico: Examine periódicamente los encabezados de los correos electrónicos para comprobar los resultados de la autenticación SPF.
• Supervisión de informes DMARC: Utilice los informes DMARC para identificar fallos SPF y remitentes no autorizados.
• Gestión de cambios: Actualice los registros SPF cuando añada nuevos servicios de correo electrónico o cambie de proveedor.
• Supervisión automatizada: Configure alertas para los fallos de autenticación SPF.

Lectura recomendada: Cómo configurar DMARC: guía de configuración paso a paso

Implementa DMARC y SPF con PowerDMARC

La implementación de SPF junto con DKIM y DMARC proporciona una capa de protección integral, lo que garantiza que todos los mensajes enviados desde su dominio sean verificados y fiables. En conjunto, estos protocolos protegen su dominio de ciberataques basados en el correo electrónico, como la suplantación de identidad, el phishing y el BEC.

PowerDMARC te ayuda a llegar más rápido con:

• Detección automática de errores: Detecta configuraciones incorrectas de SPF, problemas de sintaxis y violaciones de los límites de búsqueda antes de que afecten a la entrega del correo electrónico.
• Supervisión en tiempo real: Reciba alertas instantáneas cuando falle la autenticación SPF, DKIM o DMARC para que pueda actuar antes de que disminuya la capacidad de entrega.
• Informes de cumplimiento normativo: Genere informes listos para auditorías que cumplan con los requisitos de cumplimiento normativo del sector y le proporcionen una visibilidad completa de quién envía correos electrónicos en su nombre.
• Asistencia de expertos 24/7: Acceda a especialistas certificados en seguridad del correo electrónico siempre que necesite ayuda con la configuración, la resolución de problemas o la aplicación.

Un cliente comparte: «Con PowerDMARC, detectamos configuraciones erróneas de SPF antes de que causaran problemas de entrega. ¡Su asistencia técnica es de primera categoría!». – Director de TI, empresa SaaS

Configurar un registro SPF de Google Workspace es solo el primer paso para proteger tu dominio. ¡Comience hoy mismo una prueba gratuita de 15 días con PowerDMARC hoy mismo.

Preguntas más frecuentes (FAQ)

1. ¿Qué es un registro SPF para el correo electrónico?

Un registro SPF (Sender Policy Framework) es un registro DNS TXT que especifica qué servidores de correo están autorizados a enviar correos electrónicos en nombre de su dominio. Evita la suplantación de identidad en el correo electrónico y mejora la capacidad de entrega al permitir que los servidores receptores verifiquen que los correos electrónicos provienen de fuentes legítimas.

2. ¿Cómo puedo solucionar el fallo de SPF en Gmail?

Para solucionar los errores de SPF en Gmail:

• Comprueba si tu registro SPF incluye «include:_spf.google.com»
• Asegúrate de tener solo un registro SPF por dominio.
• Verifique que la sintaxis de SPF sea correcta.
• Asegúrate de no haber superado el límite de 10 búsquedas DNS.
• Espere a que se propague el DNS después de realizar los cambios.

3. ¿Sigue siendo relevante el SPF para la seguridad del correo electrónico?

Sí, SPF sigue siendo muy relevante para la seguridad del correo electrónico. Google exige a todos los remitentes de correo electrónico que implementen SPF o DKIM, y SPF es un componente fundamental de la autenticación del correo electrónico cuando se combina con DKIM y DMARC.

4. ¿Puedo tener varios registros SPF para diferentes subdominios?

Sí. Aunque solo se puede tener un registro SPF por dominio, cada subdominio puede tener su propio registro SPF independiente. Si utiliza subdominios para enviar correo electrónico, deberá configurar registros SPF para cada subdominio por separado, si su proveedor lo permite, ya que la política SPF no se hereda del dominio raíz.

5. ¿Cuál es la diferencia entre ~all y -all en los registros SPF?

~all (softfail) significa que los correos electrónicos de fuentes no autorizadas deben aceptarse, pero marcarse como sospechosos, mientras que -all (hardfail) significa que los correos electrónicos de fuentes no autorizadas deben rechazarse. Comience con ~all para supervisar los resultados y, a continuación, pase a -all para una aplicación más estricta una vez que esté seguro de que su registro SPF está completo.