Qué es SPF y cómo configurarlo
Tiempo de lectura: 9 minutosTL;DR: Un registro SPF es una línea de texto en el DNS de tu dominio que indica qué servidores tienen autorización para enviar correos en tu nombre. Sin él, los proveedores de correo pueden marcar tus mensajes como spam o rechazarlos directamente. Configurarlo toma menos de diez minutos y es obligatorio si usas un dominio propio para comunicaciones profesionales.
Tabla de contenidos
- Qué es un registro SPF y por qué importa
- Cómo funciona SPF técnicamente
- Sintaxis del registro SPF: cada parte explicada
- Cómo configurar SPF para Google Workspace
- Cómo configurar SPF para el correo de tu hosting
- Cómo verificar que tu SPF funciona
- Errores comunes al configurar SPF
- Lo que dicen los clientes de Neolo
- Preguntas frecuentes
- Conclusión
Qué es un registro SPF y por qué importa
Cuando alguien recibe un correo desde info@tuempresa.com, el servidor destinatario no puede saber a simple vista si ese mensaje fue enviado legítimamente desde tu proveedor de correo o si alguien lo falsificó para hacer spam o phishing. El registro SPF (Sender Policy Framework) resuelve exactamente ese problema.
Se trata de un registro de tipo TXT en el DNS de tu dominio. Su función es declarar una lista de servidores autorizados para enviar correo en nombre de ese dominio. Cuando llega un mensaje que dice provenir de @tuempresa.com, el servidor receptor consulta el DNS, lee el registro SPF y comprueba si el servidor que envió el correo está en esa lista. Si no está, el mensaje puede ser rechazado o marcado como spam.
La consecuencia práctica de no tener SPF —o tenerlo mal configurado— es directa: correos que no llegan, mensajes que aterrizan en la carpeta de no deseados, y reputación de dominio dañada que tarda semanas en recuperarse.
SPF es uno de los tres pilares de la autenticación de correo, junto a DKIM (firma digital del mensaje) y DMARC (política de qué hacer cuando SPF o DKIM fallan). Los tres trabajan en conjunto, pero SPF es el punto de partida obligatorio.
Para quienes manejan cuentas de correo con dominio propio —como nombre@tuempresa.com— y envían correos de contacto, newsletters o notificaciones automáticas, configurar SPF correctamente es tan básico como instalar un certificado SSL. Si te interesa profundizar en cómo proteger las cuentas de correo de tu empresa más allá del SPF, vale la pena revisar esta guía sobre protección de cuentas corporativas.
Cómo funciona SPF técnicamente
El proceso ocurre en tiempo real, antes de que el destinatario vea el mensaje:
- Tu servidor de correo envía un mensaje desde
info@tuempresa.com. - El servidor destinatario extrae el dominio del remitente (
tuempresa.com). - Hace una consulta DNS de tipo TXT a
tuempresa.combuscando el registro SPF. - Lee la lista de servidores autorizados.
- Compara la IP del servidor que envió el mensaje con esa lista.
- Si hay coincidencia: pass (el correo continúa). Si no hay coincidencia: aplica la política definida en el registro (
~allo-all).
Este proceso no garantiza por sí solo que el correo llegue a la bandeja de entrada —eso depende de muchos factores más—, pero sin él, muchos sistemas de filtrado penalizan automáticamente el mensaje.
Un detalle importante en la práctica: SPF verifica la dirección del sobre del mensaje (el campo técnico MAIL FROM, también llamado «Return-Path»), no necesariamente la dirección que el usuario ve en el campo «De:». Este matiz importa cuando se configuran herramientas de envío masivo o cuando hay reenvíos automáticos.
Sintaxis del registro SPF: cada parte explicada
Un registro SPF tiene este aspecto:
v=spf1 include:_spf.google.com ip4:203.0.113.10 ~all
Estructura básica
| Elemento | Función |
|---|---|
v=spf1 |
Declara que es un registro SPF versión 1. Obligatorio al inicio. |
include:dominio |
Autoriza los servidores definidos en el SPF de ese dominio externo. |
ip4:x.x.x.x |
Autoriza una IP específica (IPv4). |
ip6:xxxx::xxxx |
Autoriza una IP específica (IPv6). |
a |
Autoriza la IP a la que apunta el registro A del dominio. |
mx |
Autoriza los servidores de correo definidos en los registros MX. |
~all |
Soft fail: los correos de servidores no autorizados se aceptan pero se marcan. |
-all |
Hard fail: los correos de servidores no autorizados se rechazan. |
?all |
Neutral: no se aplica ninguna política (no recomendado). |
+all |
Permite todo (peligroso, nunca usar). |
Sobre el calificador final: ~all vs -all
En la práctica, la diferencia entre ambos es significativa. -all es más estricto: indica que cualquier servidor no listado debe ser rechazado. ~all es más permisivo: indica que el correo de servidores no autorizados debe ser marcado como sospechoso pero no rechazado.
Para dominios que ya tienen sus registros bien configurados y llevan tiempo funcionando, -all es la opción correcta. Si estás en proceso de migración o no tienes certeza de que todos los servidores emisores están listados, ~all es más seguro mientras se termina la configuración.
Límite de 10 consultas DNS
Este es uno de los puntos donde más gente comete errores: SPF tiene un límite estricto de 10 mecanismos que requieren consulta DNS (include, a, mx, ptr, exists). Si tu registro supera ese límite, el resultado es automáticamente un «permerror», que muchos servidores tratan como un fallo de autenticación.
Si usas varios servicios de correo (Google Workspace, Mailchimp, tu hosting, Brevo, etc.), es fácil superar ese límite sin darse cuenta.
Cómo configurar SPF para Google Workspace
Si usas Google Workspace para el correo de tu dominio, el registro SPF oficial de Google es:
v=spf1 include:_spf.google.com ~all
Pasos para agregarlo en cPanel (hosting compartido)
- Ingresa al panel de control de tu hosting (cPanel).
- Navega a la sección «Zona DNS» o «Editor de zona DNS».
- Busca si ya existe un registro TXT que empiece con
v=spf1. Si existe, edítalo. Si no existe, créalo. - Selecciona el tipo de registro:
TXT. - Introduce el nombre del host: deja el campo en blanco o escribe
@(dependiendo del panel, ambos representan el dominio raíz). - Pega el valor del registro SPF.
- Guarda los cambios.
Pasos para agregarlo en el panel de gestión de DNS de Neolo
- Accede al panel de cliente en Neolo.
- Selecciona el dominio correspondiente.
- Abre la sección de gestión DNS.
- Crea un nuevo registro de tipo TXT con nombre
@y el valor del SPF. - Confirma los cambios. La propagación puede tardar entre 15 minutos y 48 horas, aunque en la práctica suele ser mucho más rápida.
Si usas Google Workspace y también envías correos desde otra herramienta (como Mailchimp o Brevo), necesitas combinar ambos en un único registro:
v=spf1 include:_spf.google.com include:servers.mcsv.net ~all
Importante: solo puede existir un registro SPF por dominio. Si creas dos registros TXT que empiecen con v=spf1, el resultado es inválido y ambos fallarán. Siempre combina todo en una sola línea.
Si quieres profundizar en la configuración de los registros MX que acompañan a Google Workspace, puedes ver cómo configurar los registros MX para Google Workspace paso a paso.
Cómo configurar SPF para el correo de tu hosting
Si usas el servidor de correo incluido en tu plan de hosting (el servidor del proveedor que gestiona tu dominio), el registro SPF debe autorizar ese servidor.
Ejemplo típico para hosting compartido con cPanel
La mayoría de los proveedores de hosting que usan cPanel generan automáticamente un registro SPF básico al activar una cuenta. Sin embargo, conviene verificarlo y adaptarlo según las necesidades.
Un registro genérico para correo alojado en el servidor del hosting podría verse así:
v=spf1 mx a ip4:IP.DEL.SERVIDOR ~all
Donde:
– mx autoriza los servidores definidos en los registros MX del dominio.
– a autoriza la IP a la que apunta el registro A del dominio.
– ip4:IP.DEL.SERVIDOR es la IP pública del servidor de correo (se obtiene desde el panel del hosting).
Si el hosting indica explícitamente su mecanismo SPF, es mejor usar el include: correspondiente:
v=spf1 include:servidor-del-proveedor.com ~all
El valor exacto del include: lo entrega el proveedor de hosting. En el caso de un correo profesional con dominio propio, este dato está disponible en la documentación o se puede consultar directamente al soporte.
¿Qué pasa si envías desde hosting y desde Google Workspace?
Ese es el escenario más común en empresas pequeñas: el sitio web envía notificaciones desde el servidor del hosting (formularios de contacto, confirmaciones de pedido) y el equipo usa Google Workspace para el correo del día a día.
En ese caso, ambos deben estar en el mismo registro SPF:
v=spf1 include:_spf.google.com include:nombredelhosting.com mx ~all
Cómo verificar que tu SPF funciona
Después de guardar el registro, hay varias formas de comprobar que está activo y bien formado.
Herramientas de verificación en línea
- MXToolbox (mxtoolbox.com): introduce tu dominio en «SPF Record Lookup» y muestra el registro actual, los mecanismos detectados y si hay errores de sintaxis.
- Google Admin Toolbox (toolbox.googleapps.com): útil específicamente para dominios que usan Google Workspace. Permite también hacer «Check MX» para validar toda la configuración de correo.
- Mail Tester (mail-tester.com): genera una dirección temporal a la que puedes enviar un correo real y te entrega una puntuación completa de autenticación (SPF, DKIM, DMARC, spam score).
Verificación manual por línea de comandos
Desde una terminal en Linux o macOS:
dig TXT tudominio.com +short
O con nslookup en Windows:
nslookup -type=TXT tudominio.com
El resultado debe mostrar una línea que empiece con "v=spf1 ...". Si no aparece nada, el registro no está publicado o aún no se propagó.
Para contar las consultas DNS que usa tu registro y verificar que no supera el límite de 10, herramientas como dmarcian SPF Surveyor o easydmarc.com hacen ese análisis automáticamente.
Video: ciberseguridad y hábitos que protegen tu negocio
Errores comunes al configurar SPF
1. Tener más de un registro SPF
Es el error más frecuente. Al añadir un segundo registro TXT con v=spf1, el resultado es automáticamente inválido. Los servidores de correo no saben cuál elegir y el resultado es «permerror». Solución: combinar todo en un único registro.
2. Superar el límite de 10 consultas DNS
Cada include:, a, mx o ptr cuenta como una consulta. Si usas cuatro o cinco herramientas de marketing o transaccional, es fácil superar el límite. Solución: usar herramientas de aplanamiento de SPF (SPF flattening) que convierten los include: en IPs directas, o consolidar proveedores de envío.
3. Olvidar incluir el servidor del hosting al migrar a Google Workspace
Al migrar el correo a Google Workspace, muchos actualizan el SPF para incluir a Google pero olvidan que el sitio web sigue enviando notificaciones desde el servidor del hosting. Esos envíos fallan el SPF. Solución: mantener ambos include: en el registro.
4. Usar -all antes de verificar que todos los servidores legítimos están incluidos
Activar -all (hard fail) sin haber verificado que la lista de servidores autorizados es completa puede hacer que correos legítimos propios sean rechazados. Solución: empezar con ~all, verificar con Mail Tester que todo funciona, y luego cambiar a -all.
5. No actualizar el SPF al contratar un nuevo servicio de envío
Si se suma una herramienta nueva (CRM, plataforma de email marketing, sistema de tickets), el servidor de esa herramienta no estará autorizado en el SPF existente. Los correos enviados desde esa plataforma fallarán la autenticación. Solución: cada vez que se contrata un nuevo servicio de correo o envío, revisar si requiere un include: adicional en el SPF.
6. Copiar un registro SPF de otro dominio sin revisarlo
Un registro que funciona en un contexto puede ser incompleto o incorrecto en otro. Siempre construir o verificar el registro según los servicios reales que se usan.
Un problema relacionado y frecuente en sitios pequeños es que el propio hosting reporta que el dominio está enviando spam cuando hay una configuración incorrecta. Si te ocurrió eso, vale la pena leer qué hacer cuando el hosting dice que tu sitio envía spam, que explica el proceso de diagnóstico.
Lo que dicen los clientes de Neolo
★★★★★ Matías Pregliasco
«Usualmente, cuando escribo al soporte la respuesta es prácticamente inmediata. Agradecido también por la buena predisposición.»★★★★★ Lizeth Rivera
«Siempre están disponibles, y resuelven las dudas con agilidad. Hasta el momento el mejor servicio.»★★★★★ Alejandro Belmonte
«Cliente desde 2006. Siempre me brindaron muy buen servicio, con atención y respuesta rápida.»
Preguntas frecuentes
Sin registro SPF, los servidores de correo destinatarios no pueden verificar si el remitente está autorizado. Muchos sistemas aplican una política de «neutral» o directamente penalizan el mensaje. El resultado más común es que los correos lleguen a spam o sean rechazados por proveedores estrictos como Gmail, Outlook o Yahoo.
No por sí solo. SPF es uno de los tres pilares de autenticación junto a DKIM y DMARC. Tener SPF correcto mejora significativamente la entregabilidad, pero el destino final de un correo depende también de la reputación del dominio, el contenido del mensaje, la tasa de rebotes y otros factores del servidor receptor.
Sí, y es una configuración habitual. Basta con incluir ambos mecanismos en un único registro: v=spf1 include:_spf.google.com include:dominio-del-hosting.com ~all. El punto clave es no crear dos registros SPF separados, sino uno solo que contemple todos los servidores autorizados.
Depende del TTL (Time to Live) configurado en el DNS del dominio. En la práctica, con TTL estándar de 3.600 segundos (una hora), los cambios son visibles en la mayoría de los servidores entre 15 minutos y 2 horas. En casos excepcionales puede tardarse hasta 48 horas.
No de forma automática. Un registro SPF en tudominio.com no aplica a mail.tudominio.com ni a newsletter.tudominio.com. Si se envían correos desde subdominios, cada uno necesita su propio registro SPF, o se debe usar el mecanismo redirect= para apuntar a un registro centralizado.
SPF verifica desde qué servidor se envió el correo. DKIM agrega una firma criptográfica al mensaje que demuestra que no fue alterado en tránsito. DMARC define qué debe hacer el servidor receptor cuando SPF o DKIM fallan (nada, poner en cuarentena o rechazar). Los tres son complementarios y lo ideal es tener los tres configurados.
El proveedor de hosting debe indicarlo en su documentación o al consultar al soporte. El valor correcto depende de la infraestructura de servidores que use ese proveedor. Si no lo encuentras, herramientas como MXToolbox o el correo de prueba de Mail Tester permiten detectar qué servidor envió el mensaje y confirmar si ya está incluido en el SPF actual.
El resultado es un «permerror» (error permanente). Muchos servidores de correo tratan ese estado como un fallo de SPF y aplican la política más restrictiva. La solución es reducir la cantidad de include: (usando técnicas de aplanamiento) o consolidar los proveedores de envío para mantener el total por debajo del límite.
Conclusión
Configurar SPF correctamente es una tarea puntual que tiene impacto directo en la entregabilidad de todos los correos que envía un negocio. Un registro bien formado, que contemple todos los servidores de envío activos y termine con la política adecuada, puede ser la diferencia entre llegar a la bandeja de entrada o perderse en spam.
El proceso no requiere conocimientos técnicos avanzados: basta con identificar desde qué servicios se envían correos, consultar el mecanismo SPF de cada uno, y combinarlos en un único registro TXT en el DNS del dominio.
Si todavía no tienes correo profesional con tu propio dominio o estás evaluando migrar de una solución gratuita a una más confiable, es el momento indicado para hacerlo bien desde el inicio: con SPF, DKIM y DMARC configurados correctamente y un proveedor que responda rápido cuando hay problemas. Neolo, con más de 20 años en el mercado y soporte que resuelve el 80% de las consultas en menos de una hora, es una opción concreta para ese paso.
