¿Qué es SPF y cómo arreglo mi registro SPF? (2026)

Q: ¿Qué aspecto tiene un registro SPF?

Un único registro DNS TXT como v=spf1 include:_spf.google.com -all. Las entradas include: son tus remitentes aprobados; el -all del final rechaza a todos los demás.

Q: ¿Es mejor ~all o -all?

-all (hardfail) es más estricto: indica a los receptores que rechacen a los remitentes no listados. ~all (softfail) normalmente sigue entregando el correo. A fecha de 2026-06-29, el 39,3 % de los registros SPF usa -all y el 55,8 % usa ~all.

Publicado 2026-07-01

Cifras a fecha de 2026-06-29 · metodología v7. Datos agregados del censo de 261 millones de dominios evaluados. SPF (Sender Policy Framework) es un registro DNS que enumera qué servidores están autorizados a enviar correo en nombre de tu dominio. Consulta cómo evaluamos.

SPF es una única línea en tu DNS que dice “estos servidores pueden enviar correo en mi nombre; trata cualquier otro como sospechoso”. En 261 millones de dominios, el 53,21 % publica un registro SPF. Suena saludable, pero un registro por sí solo no te protege: el calificador terminal decide si los remitentes no listados se rechazan o se dejan pasar, y una gran proporción de registros está configurada de forma tan permisiva que no cambia nada. Esto es lo que SPF hace realmente, los errores que vemos con más frecuencia y cómo arreglar el tuyo.

¿Qué es un registro SPF?

Cuando un servidor de correo recibe un mensaje que dice provenir de tu dominio, consulta tu registro SPF y comprueba si el servidor emisor está en tu lista de aprobados. El registro termina con una instrucción para todo lo que no esté en la lista:

-all (hardfail) — rechaza a los remitentes no listados. Esta es la configuración que va en serio.
~all (softfail) — acepta pero marca como sospechoso. La mayor parte del correo se sigue entregando.
?all (neutral) — no hace nada; equivale a no tener opinión.
+all — acepta cualquier cosa de cualquiera. Es activamente peligroso y nunca debería publicarse.

De los 139 millones de dominios que publican SPF, solo el 39,3 % usa un -all estricto, mientras que el 55,8 % usa el más permisivo ~all. Y 36.014 dominios publican +all, una invitación abierta que le dice al mundo que cualquiera puede enviar correo en su nombre.

Los errores que rompen SPF sin que te enteres

Demasiadas consultas DNS. SPF está limitado a 10 consultas (RFC 7208); si lo superas, todo el registro falla con “permerror” y se ignora. 7958 dominios (el 0,01 % de los que tienen SPF) rebasan este límite, normalmente al encadenar demasiadas instrucciones include: para remitentes de terceros.
Publicar +all. Poco frecuente pero catastrófico: desactiva SPF por completo y da vía libre a los falsificadores.
Suponer que SPF detiene la suplantación. Por sí solo, no lo hace. SPF comprueba la ruta técnica de envío, no la dirección “De” que ve una persona. El 32,4 % de todos los dominios publica SPF pero no tiene DMARC, de modo que el remitente visible aún puede falsificarse. SPF es la fontanería; la aplicación de DMARC es la cerradura. Consulta SPF sin DMARC.

¿Cómo arreglo mi registro SPF?

Publica un único registro SPF — un solo registro TXT que empiece por v=spf1. Nunca publiques dos; eso es un fallo automático.
Enumera cada remitente legítimo — tu proveedor de buzón, plataforma de marketing, CRM, servicio de asistencia — usando los valores include: que documenten.
Termina con -all una vez que estés seguro de que la lista está completa. Empieza con ~all si necesitas un margen de seguridad y luego ajústalo. Consulta arreglar SPF.
Mantente por debajo de 10 consultas — aplana o consolida los includes si te acercas al límite.
Después añade DMARC — SPF y DKIM alimentan DMARC, el control que realmente impide que alguien envíe correo en nombre de tu dominio.

Preguntas frecuentes

¿Qué aspecto tiene un registro SPF? Un único registro DNS TXT como v=spf1 include:_spf.google.com -all. Las entradas include: son tus remitentes aprobados; el -all del final rechaza a todos los demás.

¿Es mejor ~all o -all? -all (hardfail) es más estricto: indica a los receptores que rechacen a los remitentes no listados. ~all (softfail) normalmente sigue entregando el correo. A fecha de 2026-06-29, el 39,3 % de los registros SPF usa -all y el 55,8 % usa ~all.

¿SPF impide que suplanten mi dominio? Por sí solo, no. SPF no gobierna la dirección “De” visible. Necesitas DMARC configurado para que aplique. El 32,4 % de los dominios tiene SPF pero no DMARC y sigue siendo suplantable.

¿Por qué mi registro SPF “falla” aunque parece correcto? Lo más habitual es que supere el límite de 10 consultas y devuelva permerror. El 0,01 % de los dominios con SPF cae en esto. Reduce el número de consultas include:.

¿Arreglar SPF es caro? No, es un cambio de DNS gratuito. El esfuerzo está en dejar la lista de remitentes completa y correcta, no en dinero.

Comprueba gratis el SPF de tu dominio

Consulta tu registro SPF, su calificador terminal y si está completo, de forma privada y solo para el propietario.

Comprueba tu dominio → · Arreglar SPF → · Arreglar DMARC → · Cómo evaluamos → · Solo datos agregados. Datos almacenados y procesados en la UE.