¿Puede un dominio tener dos registros SPF? No — un millón de dominios acaban de anular el suyo (2026)

Q: ¿Se permiten varios registros SPF?

No. La RFC 7208 permite exactamente un registro v=spf1 por dominio; dos o más provocan un error permanente que anula SPF por completo. 1.013.416 dominios se encuentran en este estado a fecha de 2026-06-29.

Q: ¿Cómo combino dos registros SPF en uno?

Un solo registro, que empiece por v=spf1, que contenga cada mecanismo include: e IP de todos ellos, y que termine en un único -all o ~all. Elimina los sobrantes y luego verifica que tu recuento de búsquedas sobrevivió a la fusión.

Publicado 2026-07-03

Cifras a fecha de 2026-06-29 · metodología v7. Censo agregado de 261 millones de dominios calificados. Todas las cifras son agregadas — nunca el registro de una empresa individual. Consulta cómo calificamos.

No — un dominio puede publicar exactamente un registro SPF, y equivocarse en esto desactiva SPF por completo: 1.013.416 dominios publican actualmente dos o más, lo que según la RFC 7208 invalida todos los registros SPF de un dominio. No el más nuevo, no el más antiguo — todos y cada uno. Un receptor que encuentra varios registros v=spf1 debe devolver un error permanente, lo que significa ninguna protección SPF en absoluto, en un dominio que a ojos de su propietario parece tener el doble de protección.

¿Por qué dos registros SPF equivalen a cero?

El estándar es tajante: la política SPF de un dominio debe ser un único registro TXT que empiece por v=spf1 (RFC 7208 §3.2; el resultado de error se prescribe en §4.5). Si una consulta encuentra más de uno, el receptor no puede saber cuál es el autoritativo — así que el estándar prohíbe adivinar. Los receptores conformes al estándar deben devolver PermError: la evaluación falla de forma permanente.

Y un PermError no es neutral. DMARC lo trata como un fallo en la parte de SPF — de modo que un dominio que duplicó su registro ha anulado su protección y además ha perjudicado la autenticación de su propio correo legítimo. Es uno de los poquísimos errores de DNS en los que añadir protección la elimina (publicar dos registros DMARC le hace lo mismo a DMARC).

Aproximadamente 1 de cada 138 dominios que intentan usar SPF se lo han hecho a sí mismos.

¿Cómo ocurre? El copiar y pegar de la incorporación

Casi nadie escribe un segundo registro SPF a propósito. Ocurre el día que añades una herramienta de correo:

Tu dominio ya tiene v=spf1 include:spf.protection.outlook.com -all de tu proveedor de buzón.
Te das de alta en una plataforma de boletines, un CRM o una herramienta de facturación.
Su guía de configuración dice: “Añade este registro TXT a tu DNS: v=spf1 include:newtool.example.com ~all.”
Haces exactamente lo que dice — lo añades, junto al anterior.

Ahora existen dos registros, y ambos son nulos. La guía dijo “añade”, y añadir es lo único que el estándar no permite; el paso correcto — fusionar el nuevo include: con el registro existente — casi ningún flujo de incorporación lo menciona.

El fallo es invisible desde el panel de DNS: ambos registros parecen individualmente bien formados, y el correo en su mayoría sigue llegando porque los receptores recurren a otras señales. Nada te avisa hasta que aterriza una suplantación o la entregabilidad decae.

Cómo comprobarlo y arreglarlo — dos minutos, gratis

Consulta los registros TXT de tu dominio (dig TXT tudominio.com, o usa nuestra comprobación gratuita).
Cuenta los registros que empiezan por v=spf1. El único número seguro es 1.
Si tienes más: fusiónalos — cada mecanismo include: e ip4:/ip6: en un único registro con un solo calificador terminal (consulta ~all frente a -all) — y elimina el resto.

Antes:   v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

Después: v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

A medida que fusionas, no pierdas de vista el límite de 10 búsquedas — demasiados mecanismos include: rompen SPF de otra manera.

Preguntas frecuentes

¿Se permiten varios registros SPF? No. La RFC 7208 permite exactamente un registro v=spf1 por dominio; dos o más provocan un error permanente que anula SPF por completo. 1.013.416 dominios se encuentran en este estado a fecha de 2026-06-29.

¿El segundo registro SPF anula al primero? Ninguno gana. Un receptor que encuentre varios registros debe hacer fallar la evaluación en lugar de elegir — así que todos dejan de funcionar a la vez.

¿Cómo combino dos registros SPF en uno? Un solo registro, que empiece por v=spf1, que contenga cada mecanismo include: e IP de todos ellos, y que termine en un único -all o ~all. Elimina los sobrantes y luego verifica que tu recuento de búsquedas sobrevivió a la fusión.

¿Por qué mi correo sigue funcionando con dos registros SPF? Los receptores que se topan con el error normalmente continúan sin SPF, así que tu correo depende de la reputación y de DKIM. Lo que has perdido es la protección — nada rechaza a un falsificador — y tus evaluaciones DMARC pierden su parte de SPF. Que el correo funcione y que SPF funcione son cosas distintas.

Comprueba si tu dominio es uno del millón

Una revisión de 30 segundos te deja libre o te entrega una fusión de dos minutos.

Comprueba tu dominio → · Arregla SPF → · El informe de PermError de SPF → · El modelo de madurez de SPF → · Solo datos agregados. Datos almacenados y procesados en la UE.