¿Qué es SPF?

También llamado: Sender Policy Framework

SPF (Sender Policy Framework) es un registro DNS en el que un dominio publica qué servidores tienen permiso para enviar correo en su nombre. Los servidores que reciben el correo lo consultan para detectar suplantaciones.

Cualquiera puede enviar un correo diciendo que viene de @example.com. SPF permite al dueño del dominio publicar la lista de servidores autorizados; el servidor que recibe el mensaje comprueba si la IP que se lo ha entregado está en esa lista.

Ejemplo

SPF se publica como un registro TXT en el propio dominio:

example.com.  3600  IN TXT  "v=spf1 ip4:203.0.113.25 include:_spf.google.com ~all"

Se lee de izquierda a derecha:

• v=spf1 — es un registro SPF.
• ip4:203.0.113.25 — esta IP puede enviar (por ejemplo, tu servidor web, que manda los formularios).
• include:_spf.google.com — también los servidores que Google autorice (si usas Google Workspace).
• ~all — el resto, sospechoso (softfail).

El final: ~all, -all o ?all

Si ya tienes DMARC, ~all es suficiente y más seguro ante olvidos: será DMARC quien decida qué hacer.

Límites importantes

• Solo un registro SPF por dominio. Si hay dos v=spf1, el resultado es un error y ambos se ignoran. Para añadir un servicio, se añade un include: al registro existente.
• Máximo 10 consultas DNS. Cada include, a, mx, exists y redirect cuenta, incluidas las que hacen los include por dentro. Si se supera, SPF falla (permerror).
• SPF comprueba el remitente del sobre (la dirección Return-Path), no el «De:» que ve el usuario. Por eso por sí solo no basta contra la suplantación y se combina con DKIM y DMARC.

Errores habituales

• Crear un segundo registro SPF al contratar un servicio nuevo (un CRM, una herramienta de newsletters…) en lugar de ampliar el existente.
• Olvidar el servidor web: si WordPress envía correo desde tu hosting y su IP no está en el SPF, esos correos fallarán.

¿Tienes un producto o servicio relacionado con SPF? Anúnciate en este término.

Categorías: Correo, Seguridad