Registro SPF: cómo escribirlo sin autorizar a todo internet

SPF es un registro TXT del dominio que lista quién puede enviar correo con ese dominio en el sobre. No mira el nombre que ve el usuario en el From hasta que DMARC pide alineación. Aun así, sin SPF casi no hay conversación seria con Gmail o Microsoft.

Una forma sana

Un solo TXT que empiece por v=spf1, luego los mecanismos que de verdad envían —ip4, include del relay, include del SaaS de facturas— y un cierre -all cuando estés seguro, o ~all mientras inventarías. El ?all y el +all no protegen.

El límite de diez consultas

Cada include, a, mx y redirect puede disparar consultas DNS. A partir de diez, el SPF se invalida y es como no tenerlo, a veces peor. Los includes anidados de herramientas de marketing son la causa típica. Se aplana el registro o se deja de autorizar lo que ya no envía.

Errores que vemos

Dos registros SPF en el mismo dominio: el receptor puede ignorarlos. Autorizar el MX “porque sí” cuando el MX no envía. Acabar en +all tras un asistente de un panel. Olvidar el relay nuevo y culpar al filtro entrante de un problema de salida.

Si el correo sale por SPAMTER, el include o la IP del relay tiene que estar. Si no sale por ahí, no lo pongas “por si acaso”.