Cómo se usa
- Marque a: las direcciones propias del dominio y mx: los servidores de correo del dominio si el dominio envía su propio correo.
- Escriba las redes de sus servidores en Redes IPv4 y Redes IPv6, y el dominio de cualquier proveedor en Incluir estos dominios.
- Elija el resultado para los demás remitentes en Todos los demás remitentes. -all es la opción estricta.
- Copie el Registro SPF (TXT) y publíquelo como registro TXT en el dominio. Compruebe que Consultas DNS (límite 10) se mantiene en 10 o menos.
Cómo lee un receptor un registro SPF
Un registro SPF es un registro TXT en el dominio que describe. Empieza por v=spf1 y después enumera términos: a, mx, ip4, ip6 e include, cada uno con un calificador opcional. Un receptor los revisa de izquierda a derecha, y el primer término que coincide da el resultado: + superado, - fallo, ~ fallo suave o ? neutral. El + es el valor por defecto (RFC 7208, sección 4.6.2).
- all coincide con todos los demás remitentes, y los términos posteriores se ignoran (RFC 7208, sección 5.1). Esta página escribe siempre all al final.
- Cuando ningún término coincide y no hay redirección, el resultado es neutral, como si ?all terminara el registro (sección 4.7).
El límite de 10 consultas DNS
Los términos a, mx, ptr, exists, include y redirect cuestan cada uno una consulta DNS, y también las consultas que hace un registro incluido. Un receptor que necesite más de 10 consultas para una comprobación devuelve un error (RFC 7208, sección 4.6.4). Los términos ip4 e ip6 no cuestan ninguna consulta, por eso un proveedor que publica sus rangos de red puede escribirse como términos ip4 e ip6 en lugar de un include.
Longitud y cadenas TXT
Una cadena de caracteres en un registro TXT contiene como máximo 255 caracteres. Un registro más largo se escribe como varias cadenas, y un receptor las une sin espacios (RFC 7208, sección 3.3). Un registro publicado debe mantener su respuesta DNS por debajo de 512 octetos (sección 3.4).
Ejemplo resuelto: un dominio que envía desde sus propios servidores y un proveedor
El registro v=spf1 a mx ip4:192.0.2.0/24 ip6:2001:db8:1::/48 include:_spf.example.net -all permite enviar a los registros de dirección y a los servidores de correo propios del dominio, permite enviar a las dos redes, y permite enviar a los remitentes que permite el registro de _spf.example.net. Cualquier otro remitente falla (-all).
Los términos a, mx e include cuestan una consulta cada uno, y los dos términos de red no cuestan ninguna, así que el registro hace 3 consultas. El registro de _spf.example.net añade sus propias consultas, que esta página no cuenta.
| Medida | Valor |
|---|---|
| Registro | v=spf1 a mx ip4:192.0.2.0/24 ip6:2001:db8:1::/48 include:_spf.example.net -all |
| Consultas DNS | 3 de 10 consultas DNS |
| Caracteres | 78 |
Preguntas frecuentes
¿Debo usar -all o ~all?
-all indica a los receptores que fallen todo remitente que su registro no enumera, así que es la opción estricta. ~all marca a los demás remitentes como fallo suave, algo que usan muchos dominios mientras comprueban que su lista está completa. Si no está seguro de que la lista esté completa, empiece con ~all.
¿Por qué falla un registro con más de 10 consultas?
Un receptor hace como máximo 10 consultas DNS para una comprobación, y una comprobación que necesita más devuelve un error (RFC 7208, sección 4.6.4). Quite los include que ya no usa, o escriba los rangos publicados de su proveedor como términos ip4 e ip6, que no cuestan ninguna consulta.
¿Tiene que ser una sola cadena un registro SPF?
No. Una cadena TXT contiene como máximo 255 caracteres, y un registro más largo se publica como varias cadenas entre comillas que un receptor une sin espacios (RFC 7208, sección 3.3). La salida de División de esta página muestra las cadenas de un registro demasiado largo para una sola.
¿Qué hace include?
include:dominio indica a un receptor que revise el registro SPF de ese dominio como parte del suyo (RFC 7208, sección 5.2). Las consultas de ese registro cuentan para su límite de 10, así que un include de un proveedor puede costar más que la única consulta que ve aquí.
¿Basta un registro SPF para frenar el correo falsificado?
No. SPF comprueba el servidor que envió el mensaje, y después DMARC comprueba que el dominio de la línea From coincide (RFC 7489, sección 3.1). Publique también firmas DKIM y una política DMARC.
¿Este generador envía mi dominio a alguien?
No. El registro se construye en su navegador a partir de lo que escribe, y no se consulta nada en la red ni se guarda.
Fuentes
- RFC 7208: Sender Policy Framework (SPF) (en inglés)
- RFC 7489: DMARC, sección 3.1 sobre la alineación (en inglés)
- RFC 4291: IP Version 6 Addressing Architecture (en inglés)
Cifras y texto revisados por última vez el martes, 10 de noviembre de 2026.