Guía: autenticación
Cómo configurar SPF
SPF permite al servidor receptor comprobar si el servidor que entrega un mensaje está autorizado a enviar por el dominio de su sobre. Basta con un registro DNS, y es fácil equivocarse en detalles.
Última revisión: 4 de noviembre de 2026
Qué comprueba SPF
Sender Policy Framework (SPF, RFC 7208) es un registro TXT de su dominio que enumera los servidores autorizados a enviar correo por él. Cuando llega un mensaje, el servidor receptor consulta el registro del dominio del remitente del sobre (el MAIL FROM de SMTP, también llamado Return-Path) y lo compara con la dirección IP que se conectó.
SPF no mira la dirección From que ven sus destinatarios. Por eso SPF por sí solo no impide que alguien muestre su dominio en el From: DMARC cierra ese hueco al exigir que el dominio comprobado esté alineado con el dominio del From.
Un registro para todos los remitentes
Un dominio solo puede publicar un registro SPF. Dos registros que empiecen por v=spf1 hacen que la comprobación falle con un error permanente; por eso, cuando añada un servicio, agregue su include al registro existente en lugar de crear otro.
Un registro empieza por v=spf1, enumera mecanismos y suele terminar con un mecanismo all que indica qué hacer con el resto. El ejemplo siguiente es ilustrativo: conserva un proveedor existente (sustituya _spf.example.com por el include de su proveedor) y añade Mail.Land.
- include:dominio añade los servidores que autoriza otro dominio; es la forma habitual de añadir un servicio de email.
- ip4: e ip6: enumeran directamente sus propias direcciones o rangos.
- a y mx autorizan los hosts de los registros A o MX de su dominio.
- ~all (soft fail) marca como sospechosos a los demás remitentes; -all (fail) indica que no están autorizados. Nunca termine con +all, que permite enviar a cualquiera.
v=spf1 include:_spf.example.com include:spf.mlnd.net ~allNo supere el límite de consultas
Los mecanismos include, a, mx, ptr y exists y el modificador redirect cuentan cada uno para un límite de 10 términos que consultan el DNS por evaluación, y también cuentan los términos de un registro incluido. Por encima de ese límite, el resultado es un error permanente y los receptores tratan el registro como roto.
Elimine los servicios que ya no use, prefiera rangos ip4 o ip6 para sus propios servidores y evite el mecanismo ptr, que el estándar pide no utilizar.
Compruebe el resultado
Tras publicarlo, envíe un mensaje a un buzón suyo y lea la cabecera Authentication-Results: muestra spf=pass, fail, softfail, neutral, none, permerror o temperror, y el dominio comprobado.
El reenvío suele romper SPF, porque el servidor que reenvía no está en su registro. Es lo esperado; DKIM normalmente sobrevive a un reenvío que no modifica el contenido firmado, y esa es una razón para publicar ambos.
Qué piden los proveedores de buzón
Google pide a todos los remitentes que configuren SPF o DKIM, y a quienes envían cerca de 5.000 mensajes o más al día a cuentas personales de Gmail, SPF, DKIM y DMARC. Yahoo pide a los remitentes masivos que implementen SPF y DKIM. Publicar ambos es la opción segura para cualquier dominio que envíe correo.
Cómo gestiona Mail.Land el SPF
Añada include:spf.mlnd.net al único registro SPF de su dominio de envío, antes del mecanismo all. SPF, DKIM y DMARC deben verificarse antes de que el dominio pueda enviar.
Los dominios nuevos reciben además un Return-Path propio: un CNAME de bounce.yourdomain a bounce.mlnd.net. Cuando ese registro se verifica, el dominio del sobre es un subdominio suyo y SPF queda alineado con su dominio del From con alineación relaxed, el valor por defecto de DMARC; hasta entonces Mail.Land usa su Return-Path por defecto. Mantenga el registro solo DNS (sin proxy), o los servidores de correo no podrán verlo.
Fuentes
- RFC 7208, Sender Policy Framework (SPF) (consultada el 4 de noviembre de 2026)
- Google, directrices para remitentes de correo (consultada el 4 de noviembre de 2026)
- Yahoo, buenas prácticas para remitentes (consultada el 4 de noviembre de 2026)
Póngalo en práctica
Añada su dominio a Mail.Land y el panel le mostrará exactamente los registros SPF, DKIM y DMARC que debe publicar.