¿Qué registro SPF necesito para mi dominio?

La suplantación de identidad y el phishing siguen siendo amenazas persistentes para las empresas de todo el mundo, por lo que la autenticación del correo electrónico es más importante que nunca. Si te estás preguntando "¿qué SPF necesito?", ya estás dando un paso clave para proteger tu dominio y salvaguardar la reputación de tu marca.

SPF (Sender Policy Framework) es un registro DNS TXT que indica a los servidores de correo receptores qué direcciones IP y servidores están autorizados a enviar correos electrónicos en nombre de su dominio. Sin una configuración SPF adecuada, sus correos legítimos pueden acabar en las carpetas de spam, mientras que los ciberdelincuentes pueden suplantar fácilmente su dominio.

Para saber qué SPF necesita, debe evaluar su configuración de correo electrónico actual y asegurarse de que todas las fuentes de envío legítimas están debidamente autorizadas.

¿Qué es el SPF en el correo electrónico?

SPF es un protocolo de autenticación de correo electrónico implementado a través de un registro DNS TXT. Su objetivo es especificar qué servidores de correo y direcciones IP están autorizados a enviar correos electrónicos en nombre de su dominio. Al publicar esta información, crea un punto de referencia que los servidores de correo receptores pueden comprobar a la hora de decidir si aceptan un mensaje.

Los registros SPF se escriben utilizando una sintaxis definida que incluye mecanismos como "incluir", "a", "mx", y "ip4/ip6". Estos mecanismos permiten a los propietarios de dominios especificar servidores de confianza de forma estructurada. Por ejemplo, "include" incorpora las políticas SPF de terceros proveedores, mientras que "mx" autoriza a los servidores que gestionan el correo entrante de su dominio. Juntos, estos elementos crean un conjunto preciso de instrucciones para los servidores de correo, garantizando que sólo se reconozca a los remitentes legítimos.

¿Por qué es importante el FPS?

La autenticación SPF ofrece múltiples ventajas que mejoran directamente tanto la seguridad y el rendimiento del correo electrónico.

En primer lugar, SPF ayuda a evitar la suplantación de identidad y los intentos de phishing dificultando significativamente a los ciberdelincuentes la suplantación de su dominio en correos electrónicos maliciosos. Con esta protección, los atacantes pierden un método clave para explotar la identidad de su marca en campañas fraudulentas.

SPF también mejora la entregabilidad del correo electrónico. Los proveedores de servicios de Internet y plataformas como Gmail, Outlook y Yahoo utilizan la validación SPF como un requisito importante a la hora de decidir si confiar en un correo electrónico entrante. Un registro SPF correctamente configurado indica a estos servicios que sus correos electrónicos son legítimos, lo que aumenta la probabilidad de que sus mensajes lleguen a las bandejas de entrada en lugar de a las carpetas de correo no deseado.

FPS protege la reputación de su marca al impedir el uso no autorizado de su dominio en campañas de spam o phishing. Cuando los clientes saben que los correos electrónicos proceden realmente de usted, aumenta la confianza en su organización y usted mantiene un mayor control sobre sus canales de comunicación.

Cómo funciona el FPS

El proceso de autenticación SPF funciona mediante una secuencia de verificación clara y paso a paso que tiene lugar cada vez que se envía un correo electrónico. Conocer a fondo este proceso facilita la configuración de registros SPF precisos que se ajusten a la estructura única de su entorno de correo electrónico.

El proceso comienza cuando su organización publica un registro SPF en la configuración DNS de su dominio. Este registro actúa como un reglamento público, especificando qué direcciones IP, servidores de correo y servicios de terceros están autorizados a enviar correos electrónicos en su nombre.

Cuando alguien envía un correo electrónico afirmando proceder de su dominio, el servidor de correo receptor inicia una búsqueda SPF comprobando los registros DNS de su dominio. A continuación, compara la dirección IP del servidor remitente con las fuentes autorizadas que figuran en su registro SPF.

Si el servidor remitente está incluido, el mensaje pasa la autenticación SPF, indicando al sistema destinatario que el correo electrónico es de confianza. Sin embargo, si el servidor remitente no aparece como autorizado, el correo electrónico falla SPF. Dependiendo de la política que haya configurado, el servidor receptor puede rechazar el correo directamente, ponerlo en cuarentena o enviarlo a la carpeta de spam del destinatario. Toda esta secuencia se produce automáticamente y en milisegundos, lo que convierte a SPF en una capa protectora muy eficaz.

¿Qué registro SPF necesita?

Determinar qué SPF necesita requiere una revisión cuidadosa de su infraestructura de correo electrónico para identificar todas las fuentes legítimas que envían mensajes en nombre de su dominio. El registro SPF exacto que necesita depende de si su organización utiliza sus propios servidores de correo, confía en proveedores externos u opera en un entorno híbrido.

Para las organizaciones que utilizan sus propios servidores de correosu registro SPF debe incluir las direcciones IP de su servidor utilizando los mecanismos "ip4" o "ip6". Un ejemplo de esto es

• v=spf1 ip4:192.0.2.1 -all 

Este registro autoriza a una única dirección IPv4 a enviar correos electrónicos para su dominio, mientras que el mecanismo -all indica a los servidores receptores que rechacen los mensajes de cualquier fuente no autorizada.

Si su empresa utiliza proveedores externostendrá que incluir los registros SPF de cada servicio mediante declaraciones "include". Algunos ejemplos comunes son:

• Espacio de trabajo de Google: include:_spf.google.com
• Microsoft 365: include:spf.protection.outlook.com
• Mailchimp: include:servidores.mcsv.net

Para entornos mixtospuede combinar diferentes mecanismos en un registro SPF completo. Por ejemplo:

• v=spf1 include:_spf.google.com include:servers.mcsv.net ip4:203.0.113.1 -all

Este ejemplo autoriza a Google Workspace, Mailchimp y una dirección IPv4 específica a realizar envíos en nombre de tu dominio.

Cómo comprobar su registro SPF

La verificación de su registro SPF es un paso esencial para garantizar que está correctamente configurado y que funciona según lo previsto. Una validación adecuada le ayuda a detectar errores a tiempo, mucho antes de que interrumpan la entrega de correo electrónico o expongan su dominio a un uso indebido.

Para ello existen diversas herramientas gratuitas y fiables. Entre las opciones más populares se incluyen MXToolbox, el comprobador SPF de PowerDMARCy Admin Toolbox de Google. Estas plataformas le permiten analizar rápidamente su registro SPF publicado y le devuelven informes detallados. Destacan si el registro está formateado correctamente, detectan errores de sintaxis y señalan posibles problemas de búsqueda DNS que podrían causar fallos inesperados.

Al realizar una comprobación, los resultados suelen mostrar uno de varios resultados:

Un resultado de "pass" indica que el servidor remitente está autorizado y que el correo electrónico ha cumplido correctamente los requisitos SPF. A "suspenso"significa que el servidor no está incluido en su registro SPF y el correo electrónico se considera no autorizado.

A "softfail"sugiere que es probable que el servidor no esté autorizado, pero el correo electrónico puede ser entregado (a menudo con una advertencia o enviado a la carpeta de spam), y un "neutral"significa que el registro SPF no ha hecho ninguna declaración clara sobre si el servidor está autorizado, dejando la decisión en manos del servidor de correo del destinatario.

Además de éstos, hay otros posibles resultados. "Ninguno"significa que no se ha encontrado ningún registro SPF para el dominio, por lo que no hay ninguna política publicada con la que validar. "Error permanente"(error permanente) se produce cuando el registro SPF no es válido o está mal configurado, por ejemplo, si hay demasiadas búsquedas DNS o errores de sintaxis, lo que hace imposible que el servidor del destinatario lo evalúe correctamente. "Temperror" (error temporal) indica un problema temporal, como un fallo de DNS, que impidió la correcta validación SPF pero que puede resolverse reintentándolo.

Errores comunes del SPF que hay que evitar

Aunque el SPF proporciona una potente protección, es fácil socavar su eficacia mediante una configuración incorrecta. Comprender estos errores le ayudará a implementar registros SPF más eficaces desde el principio.

El error más significativo es crear varios registros SPF para un mismo dominio. Según las Limitaciones de SPFDNS sólo permite un registro SPF por dominio. Si existe más de uno, los servidores receptores pueden tratar el registro como inválido, haciendo que los correos electrónicos legítimos fallen la autenticación. En su lugar, todas las fuentes de envío autorizadas deben consolidarse cuidadosamente en un único registro completo.

Otro problema común surge por superar el límite de 10 búsquedas DNS. Cada declaración "include" o mecanismo que hace referencia a entradas DNS externas cuenta para este límite, y las configuraciones complejas pueden sobrepasarlo sin una planificación cuidadosa. Cuando esto ocurre, la validación SPF falla por defecto, socavando tanto la entregabilidad como la confianza.

Otro descuido es no actualizar los registros SPF cuando se producen cambios en su infraestructura de correo electrónico. Por ejemplo, si adopta una nueva plataforma de marketing, cambia de proveedor de alojamiento o migra a un servicio como Microsoft 365 o Google Workspace, pero no actualiza su registro SPF, sus mensajes legítimos pueden empezar a fallar en la autenticación. Esto interrumpe las comunicaciones empresariales y puede dañar las relaciones con los clientes si no llegan los correos electrónicos críticos.

Lo esencial

El tipo de registro SPF que necesita está totalmente determinado por la configuración de su servicio de correo electrónico y la infraestructura general en la que confía. Si su organización gestiona sus propios servidores de correo, su registro SPF debe incluir las direcciones IP correspondientes. Si depende de proveedores externos como Google Workspace, Microsoft 365 o plataformas de marketing especializadas, su registro debe incorporar sus mecanismos publicados. En todos los casos, el registro debe enumerar exhaustivamente todas las fuentes de envío legítimas para garantizar que tu dominio está totalmente protegido frente a usos indebidos.

Sin embargo, es importante entender que el SPF por sí solo no proporciona una protección completa. Aunque valida las fuentes de envío, los atacantes pueden eludir SPF falsificando la dirección visible From:, engañando a los destinatarios para que crean que un correo electrónico procede de su dominio aunque no pase las comprobaciones SPF. 

Por eso SPF nunca debe funcionar de forma aislada. Combinándolo con DKIM (que valida la integridad del mensaje) y DMARC (que impone la alineación entre el remitente visible y los resultados de autenticación) crea una verdadera defensa multicapa. Este enfoque combinado refuerza significativamente su protección contra el phishing, la suplantación de identidad y el abuso de dominio, al tiempo que ofrece a los destinatarios una mayor confianza en que sus mensajes son auténticos y dignos de confianza.

Si desea asesoramiento experto adaptado a su configuración, considere la posibilidad de reservar una demostración con PowerDMARC para ver cómo nuestras soluciones pueden ayudarle a proteger su dominio de forma más eficaz.

Preguntas más frecuentes (FAQ)

¿Qué ocurre si no configuro un registro SPF?

Sin un registro SPF, es mucho más probable que sus correos electrónicos sean marcados como sospechosos o como spam por los servidores de correo receptores. Y lo que es más grave, los ciberdelincuentes pueden suplantar fácilmente su dominio y enviar correos electrónicos fraudulentos o de suplantación de identidad que parezcan proceder de su organización. Esto no sólo pone en peligro la capacidad de entrega de su correo electrónico, sino también la reputación de su marca y la confianza de sus clientes.

¿Puede un dominio tener varios registros SPF?

No, los dominios sólo deben tener un registro SPF. Múltiples registros SPF violan la norma y causan fallos de autenticación, ya que los servidores de correo serán incapaces de interpretar qué registro es autoritativo. En su lugar, combine todas las fuentes autorizadas en un único registro.

• Acerca de
• Últimas publicaciones

Ayan Bhuiya

Jefe de turno, experto en infraestructura y seguridad del correo electrónico en PowerDMARC

Con más de 13 años de experiencia en ciberseguridad, Ayan Bhuiya está especializado en infraestructuras, continuidad empresarial, gestión de riesgos y seguridad del correo electrónico. Actualmente es Jefe de Turno en PowerDMARC. Posee un Diploma de Postgrado en Redes y Seguridad y cuenta con un historial probado de liderazgo en iniciativas estratégicas de seguridad para mitigar las amenazas y garantizar la resiliencia de las empresas.

Últimos comentarios de Ayan Bhuiya (ver todos)

• Seis formas en que una filtración de datos personales puede poner en peligro la seguridad de tu empresa - 1 de abril de 2026
• Directiva NIS2: qué es, requisitos, plazos y cómo cumplirla - 26 de marzo de 2026
• Essential Eight frente a SMB 1001: una comparación completa para la ciberseguridad moderna en Australia - 12 de febrero de 2026