Generador y explicador de registros DNS SPF

Generador y explicador de registros DNS SPF

Cree, valide y optimice registros SPF TXT conformes con RFC 7208 con rangos CIDR IPv4/IPv6, MX, A, mecanismos include y políticas de fallo.

Plantillas:
Mecanismos de consulta DNS (a, mx, include, exists)
Proveedores de correo comunesAjustes populares de correo y SaaS
Includes de terceros autorizados (include:)
include:_spf.google.cominclude:sendgrid.net
Direcciones IPv4 y CIDR autorizadas (ip4:)
ip4:198.51.100.24/32
Direcciones IPv6 y CIDR autorizadas (ip6:)
Mechanisms: 6Búsquedas DNS: 3 / 10
Length: 80 / 255 Caracteres:Grado A+
Valor DNS TXT
80 chars
v=spf1 mx ip4:198.51.100.24/32 include:_spf.google.com include:sendgrid.net ~all
Parámetros del registro DNS
Tipo de registro (TXT)TXT
Host / Subdominio (@ para ápice)@ (o mycompany.io)
TTL (Tiempo de vida en segundos)3600 (1 hora recomendada)
Sintaxis de zona BIND
; RFC 7208 SPF TXT Resource Record for mycompany.io
; Host/Name: @ (or mycompany.io.)
; Record Type: TXT
; TTL: 3600 seconds ({t.lbl1HourRecommended || "1 hour recommended"})

mycompany.io.    IN    TXT    "v=spf1 mx ip4:198.51.100.24/32 include:_spf.google.com include:sendgrid.net ~all"

; --- Cloudflare DNS API / Web Dashboard ---
; Type: TXT
; Name: @
; Content: v=spf1 mx ip4:198.51.100.24/32 include:_spf.google.com include:sendgrid.net ~all
; TTL: Auto (or 3600)
; Proxy status: DNS only
Policy:~all
Lookups: 3 / 10 Ready
Consultas DNS3 / 10 usadosRFC 7208 Section 4.6.4
Longitud del registroSoftFail (~all)Compatible con alineación DMARC
Política de aplicaciónClase A+ (100/100)Cero filtración de datos

Evaluación 100% en el cliente y privacidad

Sus dominios, IPs de servidores de correo internos y configuraciones de envío se evalúan estrictamente dentro de su navegador. No se envía ninguna consulta DNS ni telemetría a servidores externos.

Conformidad RFC 7208 y límite de 10 consultas

Garantiza estricta conformidad con RFC 7208: detecta si su política supera el límite de 10 consultas DNS (previniendo rechazos PermError), valida el límite de 255 caracteres y alerta sobre mecanismos ptr obsoletos.

Ajustes SaaS, sintaxis BIND y diagnóstico CLI

Incluye ajustes preestablecidos para Google Workspace, Microsoft 365, SendGrid, Amazon SES y Mailgun. Exporta valores DNS TXT, sintaxis de zona BIND y comandos de verificación dig/nslookup.

Referencia técnica y guía de arquitectura

Guía para Desarrolladores del Generador y Analizador de Registros DNS SPF — Guía de referencia

Cree, valide y optimice registros SPF TXT conformes con RFC 7208 con rangos CIDR IPv4/IPv6, MX, A, mecanismos include y políticas de fallo.

Parámetros clave y controles

Directiva del Mecanismo all (~all / -all / ?all / +all)enum ('~all' | '-all' | '?all' | '+all')

Define la política de aplicación para las IP remitentes que no coincidan con mecanismos previos. '~all' (SoftFail) acepta pero marca correos sospechosos; '-all' (HardFail) instruye a los servidores receptores a rechazar de inmediato mensajes no autorizados.

Por defecto: ~all
Mecanismos Include (include:dominio)string[] (FQDNs separados por espacio)

Autoriza a proveedores de correo externos (como Google Workspace, SendGrid o Microsoft 365) consultando sus registros SPF. Cada include consume al menos una consulta DNS del límite estricto de 10 estipulado en RFC 7208.

Por defecto: _spf.google.com
Direcciones y Rangos CIDR IPv4 (ip4:ip/cidr)string[] (notaciones IPv4 / CIDR)

Especifica direcciones IPv4 estáticas o subredes CIDR explícitas autorizadas para emitir correos del dominio. Se evalúan directamente sin generar consultas DNS.

Por defecto: 192.0.2.1/32
Direcciones y Rangos CIDR IPv6 (ip6:ip/cidr)string[] (notaciones IPv6 / CIDR)

Define direcciones IPv6 fijas o bloques CIDR /64 o /48 autorizados para enviar correos salientes. No consume cupos de resolución DNS.

Por defecto: 2001:db8::/32
Mecanismo MX (mx / mx:dominio)boolean | string (FQDN opcional)

Autoriza las direcciones IP resueltas a partir de los registros MX (Mail Exchange) del dominio para emitir correos. Consume consultas DNS para resolver el registro MX y sus registros A/AAAA asociados.

Por defecto: false
Mecanismo A (a / a:dominio)boolean | string (FQDN opcional)

Autoriza las direcciones IP mapeadas en los registros A o AAAA principales del dominio. Muy útil si el servidor web ejecuta daemons locales como Postfix o Sendmail.

Por defecto: false

Consejos profesionales y mejores prácticas

La sección 4.6.4 de RFC 7208 limita

La sección 4.6.4 de RFC 7208 limita las evaluaciones SPF a un máximo de 10 consultas DNS acumuladas (mediante include, a, mx, ptr, exists). Superar este número produce un 'PermError', lo que lleva a proveedores como Gmail o Yahoo a marcar el correo como no autenticado. Aplane includes anidados a rangos ip4/ip6 directos.

Nunca configure múltiples registros

Nunca configure múltiples registros TXT que comiencen con 'v=spf1' en el mismo dominio o subdominio. La sección 3.2 de RFC 7208 establece taxativamente que si un receptor detecta más de un registro SPF, DEBE suspender la evaluación con un 'PermError'. Unifique todos los remitentes autorizados en un solo registro TXT.

Al implementar políticas DMARC

Al implementar políticas DMARC estrictas (p=quarantine o p=reject), es una práctica recomendada conservar '~all' en el registro SPF en lugar de forzar '-all'. Dado que el reenvío automático de correos suele romper SPF, '~all' evita falsos positivos mientras DMARC valida los correos a través de firmas DKIM.

El mecanismo 'ptr' está formalmente

El mecanismo 'ptr' está formalmente desaconsejado en RFC 7208 debido a la alta carga de resoluciones DNS inversas que impone y al descarte generalizado por parte de receptores modernos. Asimismo, '+all' autoriza explícitamente a cualquier servidor de Internet a enviar correos en su nombre.

Errores comunes y solución de problemas

Los servidores de correo rechazan mensajes con '550 5.7.23 SPF PermError: too many DNS lookups'

Audite su registro SPF y reduzca los mecanismos 'include:'. Muchos proveedores SaaS generan internamente múltiples consultas adicionales. Elimine servicios que ya no use, convierta rangos estáticos en directivas 'ip4:'/'ip6:' (flattening) o desplace envíos de marketing a subdominios dedicados.

Los analizadores de DNS reportan 'SPF PermError: duplicate SPF records found'

Ejecute 'dig +noall +answer TXT example.com' en la consola para listar todos los registros TXT configurados. Si detecta más de un registro que inicie con 'v=spf1', elimine el sobrante y fusione todas las directivas 'include:', 'ip4:' e 'ip6:' en una única entrada consolidada.

Correos legítimos reenviados fallan la validación SPF en las bandejas de entrada de destino

SPF valida la IP del remitente del sobre (RFC 5321 Return-Path). Al reenviar automáticamente un mensaje, la IP del servidor intermediario no coincide con el SPF original. La solución estándar consiste en implementar firmas criptográficas DKIM y alineación DMARC, permitiendo que el correo se autentique por DKIM aun cuando SPF falle.

Preguntas frecuentes (FAQ)

¿Qué es SPF y cómo protege contra la suplantación de identidad (spoofing)?▼

Sender Policy Framework (SPF, RFC 7208) es un estándar de autenticación de correo electrónico basado en DNS. Permite a los titulares de un dominio publicar qué direcciones IP o servidores tienen permiso para enviar mensajes. Los servidores receptores verifican la IP del remitente contra dicho registro durante la conexión SMTP. Si una IP no autorizada intenta enviar correo en nombre del dominio, se rechaza o clasifica como spam.

¿Cuál es la diferencia práctica entre SoftFail (~all) y HardFail (-all)?▼

Ambos definen el comportamiento ante correos provenientes de IPs no autorizadas. '-all' (HardFail) instruye al receptor a rechazar inmediatamente el mensaje durante la negociación SMTP. '~all' (SoftFail) solicita que el mensaje se acepte pero sea marcado como sospechoso o enviado a la carpeta de correo no deseado. En entornos con DMARC moderno, '~all' es la opción recomendada para no perjudicar correos legítimos reenviados.

¿Por qué los proveedores aplican con tanta rigidez el límite de 10 consultas DNS?▼

RFC 7208 fijó este límite para prevenir ataques de denegación de servicio (DoS) y amplificación DNS contra los servidores receptores. Sin una cota estricta, atacantes podrían diseñar registros SPF recursivos infinitos que saturen la infraestructura de resolución DNS. A partir de la consulta número 11, la evaluación genera inmediatamente un fallo permanente (PermError).

¿Verifica SPF la dirección 'De:' (From) visible que ve el usuario en su cliente de correo?▼

No. SPF valida únicamente el remitente técnico del sobre (RFC 5321 Return-Path o MAIL FROM), no el encabezado visible 'From' (RFC 5322). Un atacante podría usar un sobre con SPF válido y mostrar una dirección falsificada en la interfaz del cliente. Para cerrar esta brecha se requiere implementar DMARC (RFC 7489), que exige alineación entre el encabezado visible y la autenticación SPF/DKIM.

¿Heredan los subdominios el registro SPF del dominio principal?▼

No. Los subdominios no heredan las directivas SPF de su dominio raíz. La verificación SPF de RFC 7208 se ejecuta sobre el FQDN exacto especificado en el Return-Path. Si envía correos desde '[email protected]', el receptor buscará el registro TXT de 'app.example.com'. Si dicho subdominio carece de registro SPF, la evaluación resultará en 'None', requiriendo configurar un registro propio para cada subdominio emisor.

Herramientas y utilidades relacionadas

Todas las herramientas →
Generador de Registros de Política DMARC DNS y Validador de SintaxisSeguridad

Genere y valide registros DNS TXT DMARC conformes a RFC 7489 con políticas de aplicación (none/quarantine/reject), reportes agregados rua/ruf y etiquetas de alineación.

Abrir herramienta→
Guía de Desarrollo del Generador de Registros DNS CAA (Certification Authority Authorization)Seguridad

Genere registros DNS CAA conformes a la RFC 8659 para restringir la emisión de certificados SSL/TLS únicamente a autoridades de confianza (Let's Encrypt, DigiCert, Sectigo).

Abrir herramienta→
Guía de Desarrollo: Generador de Registros DNS DKIM TXT y SelectoresSeguridad

Cree registros DNS DKIM TXT compatibles con RFC 6376 con selector, formato de clave pública (v=DKIM1; k=rsa; p=...), división de 255 caracteres y verificación.

Abrir herramienta→
Guía para Desarrolladores del Generador de Políticas MTA-STS y Registros DNS TLS-RPTSeguridad

Referencia técnica integral y mejores prácticas para generar archivos de directivas RFC 8461 MTA-STS, registros DNS TXT _mta-sts y registros de informes RFC 8460 TLS-RPT.

Abrir herramienta→
Decodificador e Inspector de Seguridad de Tokens JWTSeguridad

Utilidad para desarrolladores que decodifica tokens JWT del lado del cliente, inspecciona claims RFC 7519 y OIDC, audita tiempos de expiración y verifica firmas HMAC localmente.

Abrir herramienta→
Generador Criptográfico de Contraseñas y Frases de PasoSeguridad

Genere contraseñas seguras de alta entropía, frases de paso memorables (Diceware), códigos PIN y tokens de API mediante la API Web Crypto CSPRNG según NIST SP 800-63B.

Abrir herramienta→