Gestionar registros SPF

El registro SPF autoriza servidores para la identidad SMTP MAIL FROM o, en algunos casos, HELO. No autentica necesariamente la dirección visible en From. Si el servidor no está autorizado, el resultado depende de la política publicada; el receptor decidirá el tratamiento según su política y el resto de la autenticación. SPF ayuda a combatir la suplantación, pero no garantiza la entrega.

En la mayoría de los casos no necesitarás modificar el valor recomendado por Email Deliverability. Revisa allí los registros SPF, DKIM y el estado relacionado con PTR. El calificador final, como -all o ~all, forma parte de cada política y no debe cambiarse sin comprobar todas las fuentes de envío.

No obstante, si el correo sale también desde un proveedor externo, necesitarás añadir al SPF la autorización exacta indicada por ese proveedor.

Antes de editarlo, comprueba qué servidores DNS son autoritativos para el dominio. Si usa nuestras DNS, puedes gestionarlo desde cPanel; si usa Cloudflare u otro proveedor, el cambio debe hacerse allí. Debe existir un único TXT que empiece por v=spf1: integra las nuevas autorizaciones en ese registro y no publiques un segundo SPF.

Para ello desde cPanel, accede a Email Deliverability y pulsa Administrar sobre el dominio a modificar.

Tras esto localiza el apartado SPF y accede a Personalizar. Añade únicamente los mecanismos que indique el proveedor externo, como sus IPs o dominios de inclusión.

Por ejemplo, si los mensajes salen desde Google Workspace, añade _spf.google.com al listado de incluidos.

No añadas Google al SPF solo por consultar el correo desde Gmail. Si la opción Enviar como entrega el mensaje a través del SMTP de Hostsuar, el servidor emisor sigue siendo Hostsuar y no Google.

Guarda la personalización y comprueba después el TXT publicado en el DNS autoritativo. Cuenta también las consultas DNS que producen include, a, mx, redirect y exists: una evaluación SPF no puede superar diez, incluidos los mecanismos anidados. Si el proveedor propone varios include, revisa el total antes de añadirlos. Nuestro comprobador SPF lee el registro en directo de los servidores autoritativos, sigue cada include hasta el final y te da la cuenta.

Comprobar el cambio sin abrir la política

Guarda el valor anterior y prueba una muestra de cada emisor: correo habitual, web, tienda, CRM y campañas. En el receptor, comprueba el resultado SPF y el dominio al que corresponde. Si el servicio usa un dominio de retorno propio, cambiar el SPF de tu dominio visible puede no intervenir en esa comprobación.

No uses +all para hacer desaparecer un error: autoriza a cualquier emisor. Tampoco copies las IP que resuelve hoy un include para sustituirlo por una lista fija; el proveedor puede cambiarlas. Revisa el límite de consultas y elimina únicamente fuentes que hayas confirmado que ya no envían.

SPF no sustituye DKIM y puede fallar tras un reenvío. Para decidir por qué se rechazó un mensaje, conserva el error real y revisa también la alineación DMARC.