Cómo corregir errores del registro SPF paso a paso

El fallo silencioso detrás de los correos que «no llegan»

Tus recordatorios de pago salieron el día uno. Una semana después, tres clientes dicen que no recibieron nada, y ahí están, en spam. El correo no tenía nada sospechoso. El problema estaba en tu DNS: un registro SPF roto que les decía a Gmail y Outlook que no confiaran en tu dominio.

Los errores de SPF son frecuentes porque el registro parece sencillo, distintas personas lo editan con los años y, cuando se rompe, nadie recibe un aviso. Esta guía repasa los fallos más habituales, cada uno con un ejemplo roto y otro corregido.

SPF en dos frases

SPF (Sender Policy Framework) es un registro TXT en el DNS de tu dominio que indica qué servidores pueden enviar correo en su nombre. El servidor receptor compara la IP del remitente con esa lista y anota el resultado: pass, fail, softfail, neutral o error.

Un detalle explica la mitad de las confusiones: SPF se comprueba sobre el dominio del Return-Path (remitente del sobre), no sobre la dirección «De» que ve tu destinatario.

Paso 1: mira lo que tienes ahora

Antes de tocar nada, pasa tu dominio por nuestro verificador de registros SPF gratuito. Te muestra el registro, cada mecanismo, cuántas de las 10 consultas DNS permitidas usas y avisos sobre los problemas de abajo. Desde la terminal, dig TXT example.com +short lista todos los registros TXT.

Después ejecuta la comprobación de salud del dominio. Revisa SPF, DKIM, DMARC, MX y listas negras de una vez, así sabrás si SPF es tu único problema.

Los 8 errores de SPF más comunes y cómo corregirlos

En los ejemplos, example.com es tu dominio y nombres como _spf.crm-example.com representan las herramientas que uses. Toma los valores reales de la documentación de cada proveedor.

1. Dos registros SPF en el mismo dominio

La guía de una herramienta nueva dice «añade este registro TXT» y alguien lo añade junto al antiguo. Un dominio solo puede tener un registro que empiece por v=spf1. Con dos, los receptores devuelven PermError, y muchos lo tratan como un fallo.

• Mal: v=spf1 include:_spf.google.com ~all y un segundo registro v=spf1 include:_spf.crm-example.com ~all
• Bien: v=spf1 include:_spf.google.com include:_spf.crm-example.com ~all

Une los mecanismos en un solo registro y borra el otro. Los demás registros TXT, como los códigos de verificación, no molestan.

2. Más de 10 consultas DNS (PermError)

Cada include, a, mx, ptr, exists y redirect cuesta una consulta DNS, y también todo lo que haya anidado dentro de un include. El límite es 10. Si te pasas aunque sea por una, SPF devuelve PermError para cada mensaje. ip4, ip6 y all no cuentan.

• Mal: v=spf1 a mx include:_spf.google.com include:spf.protection.outlook.com include:_spf.crm-example.com include:mail.helpdesk-example.com include:servers.old-mailer.net ~all
• Bien: v=spf1 ip4:203.0.113.10 include:_spf.google.com include:_spf.crm-example.com ~all

Para volver a 10 o menos, elimina las herramientas que ya no usas. Quita a y mx si esos servidores no envían correo y, si lo hacen, pon su IP con ip4:. Plantéate también mover los envíos automáticos a un subdominio con su propio registro y su propio límite de 10 consultas. Cuidado con «aplanar» los includes en IPs sueltas: funciona hasta que el proveedor cambia sus direcciones.

3. Falta el include de un servicio que envía correo

Tu registro cubre Google Workspace, pero tu programa de facturación también envía desde @example.com y no aparece. Solo fallan esos correos, así que cuesta detectarlo.

• Mal: v=spf1 include:_spf.google.com ~all
• Bien: v=spf1 include:_spf.google.com include:_spf.invoicing-example.com ~all

Haz una lista de todo lo que envía como tu dominio: buzón, CRM, helpdesk, facturación, formularios web, plataforma de email. Luego revisa la documentación de cada proveedor. Muchos usan su propio Return-Path o uno personalizado y necesitan un CNAME o un registro DKIM en lugar de un include, así que añadirlo solo gastaría consultas.

4. ~all, -all o ?all: el final equivocado

• -all (fail): los servidores fuera de la lista no están autorizados. La opción más estricta.
• ~all (softfail): los servidores fuera de la lista son sospechosos. La elección más habitual.
• ?all (neutral): sin opinión, que en la práctica protege tanto como no tener registro.

• Mal: v=spf1 include:_spf.google.com ?all
• Bien: v=spf1 include:_spf.google.com ~all

Usa ~all mientras confirmas todos los remitentes, y -all cuando la lista esté completa. Con DMARC aplicado, es DMARC quien hace casi todo el trabajo, por eso muchos dominios bien gestionados se quedan con ~all.

5. +all: el ajuste que deja SPF sin sentido

+all significa «cualquier servidor de internet puede enviar como este dominio». A veces se añade como parche rápido cuando el correo legítimo falla. El resultado es una invitación a suplantar tu dominio, y los filtros de spam lo saben.

• Mal: v=spf1 +all
• Bien: v=spf1 include:_spf.google.com include:_spf.crm-example.com ~all

Cámbialo hoy mismo y después busca el remitente que fallaba (casi siempre es el error n.º 3).

6. Errores de sintaxis

Los analizadores de SPF son estrictos. Un solo carácter mal puede invalidar el registro o saltarse un mecanismo sin avisar.

• Mal: v=spf1 ipv4:203.0.113.10 include: _spf.google.com ~all include:_spf.crm-example.com
• Bien: v=spf1 ip4:203.0.113.10 include:_spf.google.com include:_spf.crm-example.com ~all

Los sospechosos habituales son ipv4: en lugar de ip4:, un espacio después de los dos puntos, mecanismos después de all (se ignoran), comillas tipográficas pegadas desde Word y rangos inválidos como /33.

7. Registros demasiado largos

Una sola cadena dentro de un registro TXT admite como máximo 255 caracteres. Si es más larga, tu panel DNS la rechaza o la publica rota.

• Mal: una cadena de 300 caracteres con veinte direcciones ip4: sueltas
• Bien: v=spf1 ip4:203.0.113.0/24 ip4:198.51.100.0/26 include:_spf.google.com ~all

Usa rangos CIDR en lugar de IPs individuales. Si sigue siendo largo, divídelo en varias cadenas entre comillas dentro del mismo registro TXT: "v=spf1 ip4:203.0.113.0/24 " "include:_spf.google.com ~all". Las cadenas se unen sin separador, así que deja el espacio al final de la primera.

8. Olvidar los subdominios

SPF no se hereda. Un registro en example.com no sirve para billing.example.com.

• Mal: SPF solo en example.com, mientras los recordatorios salen con billing.example.com como remitente del sobre
• Bien: en billing.example.com: v=spf1 include:_spf.invoicing-example.com ~all

Los dominios que nunca envían correo (marcas antiguas, dominios aparcados) deberían publicar v=spf1 -all para que nadie los use para hacer spam.

Después de corregir: checklist rápida

1. Solo un registro TXT empieza por v=spf1.
2. El verificador SPF muestra 10 consultas o menos, mejor con margen.
3. Cada servicio que envía como tu dominio está incluido o tiene su propio Return-Path.
4. El registro termina en ~all o -all.
5. Los subdominios desde los que envías tienen su propio registro.

Luego envía una prueba a una cuenta de Gmail, abre «Mostrar original» y busca SPF: PASS.

SPF solo no basta

SPF no comprueba la dirección «De» que ve la gente y suele fallar cuando un correo se reenvía. Por eso, desde febrero de 2024, Gmail y Yahoo exigen SPF, DKIM y DMARC a los remitentes masivos. El siguiente paso es revisar los errores comunes al configurar DKIM y después pasar DMARC de p=none a p=reject.

Cómo ayuda MailerBit

MailerBit te pide verificar tu propio dominio antes de enviar una campaña. En los ajustes del dominio ves los registros DNS exactos que debes añadir (una clave DKIM y un CNAME para el Return-Path personalizado), con botones para copiarlos, y, en cuanto están activos, los confirmas con un clic en «Verificar estado».

El Return-Path personalizado hace que los rebotes pasen por tu propio dominio, y SPF se evalúa sobre ese subdominio de Return-Path. Por eso la configuración no añade ningún include a tu registro SPF principal ni consume tu límite de consultas. El correo va firmado con tu propio dominio, así que construyes tu propia reputación de dominio; los dominios nuevos pasan por un calentamiento automático y las cuentas con más de un 5% de rebotes o un 0,1% de quejas se pausan automáticamente. Los verificadores de SPF, DKIM, DMARC, MX, listas negras y salud del dominio son gratuitos y no necesitan cuenta.

Si tus recordatorios de pago y estados de cuenta acaban en spam, empieza por arreglar SPF. Después empieza tu prueba gratuita de 7 días de MailerBit, verifica tu dominio y envía a cada cliente sus propios importes y fechas de vencimiento desde un dominio autenticado.