Tema

Herramientas populares

Generador de registros SPF

Elija los servicios que envían su correo y cree su registro SPF, con las consultas DNS que cuesta a los receptores contadas en vivo mientras lo arma.

Recorrido de consultas del RFC 7208, igual que nuestro verificador SPF · los include documentados de 71 remitentes · hecho en su navegador
DNS leído desde su navegador

Carga en el formulario el registro SPF de su dominio, con todos sus remitentes. O elija remitentes abajo: se actualiza sobre la marcha.

Pruebe

Se hace en su navegador. Solo las consultas DNS salen de él, por HTTPS hacia el resolvedor de Cloudflare (el de Google como segunda opinión).

Ejemplo

Un registro de ejemplo para example.com

Escriba su dominio arriba para partir de lo que publica hoy, o cambie cualquier cosa abajo. El registro de la derecha se actualiza sobre la marcha.

¿Quién envía correo como example.com?
Sus propios servidores
Direcciones o rangos IPv4
Direcciones o rangos IPv6
Otros include
Un dominio que un proveedor le pidió incluir.
allCorreo de cualquier otro servidor

Los servidores que no figuran se marcan como sospechosos, no se rechazan. Con DMARC en quarantine o reject, DMARC decide según DKIM. M3AAWG recomienda ~all.

Este dominio no envía correo
v=spf1 -all: ningún servidor puede enviar como él.

Qué gastan los receptores con este registro

El presupuesto de 10 consultas · example.com0 de 2 vacías

/ 10 consultas usadas

110

Consulta DNS vacía

Contando los include…

A dónde van las consultas

include:_spf.google.comGoogle Workspace1

Antes de publicar

Listo para publicar

Un solo registro, sin nada que los receptores omitan o malinterpreten.

Bien

¿Dónde lo pego?

Elija su proveedor de DNS: los campos de abajo están escritos como los pide su formulario.

Línea del archivo de zona
example.com. 3600 IN TXT "v=spf1 include:_spf.google.com ~all"

Después de publicar

Verificación completa: example.comEl enlace lleva estos ajustes, nunca una clave. Consultado desde su navegador: el resolvedor de Cloudflare, el de Google como segunda opinión.

¿Cómo creo un registro SPF?

Liste todos los servicios que envían correo como su dominio, ponga sus términos include: y las direcciones de sus propios servidores en un solo registro TXT en el dominio, y termínelo con ~all.

Ponga primero los términos baratos: las direcciones IP no cuestan ninguna consulta DNS, a y mx cuestan una cada uno, y los include cuestan una más lo que contengan.

Después cuente: los receptores se detienen en 10 consultas DNS. El generador recorre cada include en vivo, así que el conteo es el que verán los receptores.

Quién envíaGoogle WorkspaceMailjet192.0.2.25
El registro, en el orden en que lo leen los receptores
v=spf1ip4:192.0.2.250 consultasinclude:_spf.google.com1 consultainclude:spf.mailjet.com1 consulta~all0 consultas
De los remitentes a un solo registro
Generador SPF contando las consultas DNS de un registro que supera el límite de 10, con los remitentes que más cuestanGenerador SPF contando las consultas DNS de un registro que supera el límite de 10, con los remitentes que más cuestanEl conteo al que llegarán los receptoresCada include recorrido en vivo desde su navegador, también los anidados, tal como lo cuenta un receptor.Una celda por consultaColoreada según el remitente que la gasta; pasado el 10 las celdas van rayadas: un error permanente.A dónde van las consultasCada término con su marca, sus include anidados y lo que cuesta.Quién gasta másPasado el 10, los remitentes que más gastan y las formas honestas de volver por debajo, con la desventaja del aplanado incluida.Remitentes que viven en otro lugarLos servicios cuyo SPF va en un subdominio, o en ninguna parte, indican dónde.
Microsoft 365, Freshdesk, Salesforce, Zendesk y Mimecast en un solo registro: cada include recorrido en vivo desde el navegador, muy por encima del límite de 10, con los remitentes que más cuestan y las formas de volver por debajo.

¿Qué lleva un registro SPF?

Mecanismos que nombran quién puede enviar (ip4, ip6, a, mx, include, exists) y una terminación, all o redirect, cada uno con un calificador; cada término que consulta DNS cuesta una de las 10 consultas.

Un calificador dice qué significa una coincidencia: + pass (el predeterminado), - fail, ~ softfail, ? neutral. Los receptores leen de izquierda a derecha y se detienen en la primera coincidencia.

ptr está en desuso y es lento: no lo use.

TérminoEjemploConsultas DNSÚselo para
ip4ip4:192.0.2.0/240Sus propios servidores IPv4
ip6ip6:2001:db8::/320Sus propios servidores IPv6
aa1La dirección propia del dominio
mxmx1 + hasta 10 nombresServidores de entrada que también envían
includeinclude:_spf.google.com1 + las suyasEl registro de un servicio
existsexists:%{i}._spf.example.com1Verificaciones por dirección (macros)
redirectredirect=_spf.example.com1Usar el registro completo de otro dominio
all~all0Todo lo demás (la terminación)
+pass-fail~softfail?neutral
Cada mecanismo y lo que cuesta

Registros SPF para Google Workspace, Microsoft 365 y otros

Google Workspace es include:_spf.google.com y Microsoft 365 es include:spf.protection.outlook.com; la mayoría de los servicios publican un solo término include:, y algunos no necesitan nada en su registro.

Cada costo de abajo se midió en el registro publicado del servicio e incluye todo lo anidado en él, que es lo que gasta un receptor.

Los servicios marcados como en otro lugar envían con su propia ruta de retorno o con un subdominio suyo, así que su SPF vive ahí.

ServicioAgregar a su registroConsultasDónde
Google Workspaceinclude:_spf.google.com1su registro
Microsoft 365include:spf.protection.outlook.com1su registro
Zoho Mailinclude:zohomail.com2su registro
Amazon SESinclude:amazonses.com1un subdominio
SendGridinclude:sendgrid.net2un subdominio
Mailguninclude:mailgun.org5un subdominio
Mailchimp——nada que agregar
Brevo—1nada que agregar
HubSpotinclude:<HubID>.spf0N.hubspotemail.net—su registro
Salesforceinclude:_spf.salesforce.com2su registro
Zendeskinclude:mail.zendesk.com1su registro
Freshdeskinclude:email.freshdesk.com7su registro
Postmark—1nada que agregar
Mimecast (global)include:_netblocks.mimecast.com9su registro
Proton Mailinclude:_spf.protonmail.ch2su registro
Fastmailinclude:spf.messagingengine.com1su registro
Remitentes, su include y lo que cuesta

¿Qué es el límite de 10 consultas de SPF?

Los receptores se detienen después de 10 términos que consultan DNS, con los include anidados contados, y SPF falla con un error permanente para todos los mensajes; una tercera consulta que vuelve vacía también lo hace fallar (RFC 7208).

Para volver por debajo, mueva un remitente a un subdominio con su propio registro, quite a o mx si esos servidores no envían, o pida al proveedor un include más acotado.

Aplanar, es decir reemplazar un include por sus direcciones IP, ahorra consultas pero queda desactualizado el día en que el proveedor cambia de direcciones: revíselo cada mes.

12 / 10 · error permanente

mx1include:spf.protection.outlook.com1include:email.freshdesk.com7include:_spf.salesforce.com2include:mail.zendesk.com1
SubdominioQuitar a/mxInclude más acotadoAplanar (queda desactualizado)
Cinco remitentes, 12 consultas

¿SPF debe terminar con ~all o con -all?

Use ~all en un dominio que envía correo y -all en uno que no: con DMARC en modo de cumplimiento, DMARC decide según DKIM, mientras que -all puede hacer que se rechace el correo reenviado antes de que DMARC actúe.

M3AAWG recomienda ~all para los dominios que envían y -all para los que no envían correo. Google documenta ~all para Workspace; Microsoft documenta -all para Microsoft 365.

~allsoftfailAceptado, marcado como sospechoso; DMARC decide con DKIM
-allfailPuede rechazarse de inmediato, aunque DKIM pase
?allneutralComo si no tuviera SPF
Un mensaje de un servidor que usted no incluyó

¿Qué remitentes no necesitan estar en su registro SPF?

Los servicios que envían con su propia ruta de retorno, como Mailchimp, Postmark, SparkPost, Klaviyo y Shopify, pasan SPF con su propio dominio; Amazon SES, SendGrid y Mailgun van en un subdominio de envío suyo.

SPF verifica el remitente del sobre (Return-Path), no la dirección From que ve la gente. Para DMARC esos servicios se alinean mediante DKIM, así que publique en su lugar sus registros DKIM.

From (lo que ve la gente)From: news@example.com
Return-Path (lo que verifica SPF)Return-Path: bounce@esp.example.net

Nada que agregar aquí

MailchimpMandrillPostmarkSparkPostBrevoKlaviyoShopifyDynamics 365

En un subdominio suyo

Amazon SESSendGridMailgun
SPF verifica el Return-Path, no la línea From

¿Puede un dominio tener dos registros SPF?

No: con dos registros v=spf1 en un mismo nombre, los receptores se detienen con un error permanente y SPF falla, así que únalos en un solo registro.

Conserve todos los remitentes de ambos, una sola terminación, y cuente las consultas del registro unido: dos registros que caben por separado pueden pasar de 10 juntos.

Publicados en example.orgv=spf1 include:_spf.google.com ~allv=spf1 include:spf.protection.outlook.com -all
Un registrov=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all
Dos registros, unidos en uno

¿Cómo funcionan los registros SPF largos con los proveedores de DNS?

Una cadena TXT guarda 255 bytes; los registros más largos se dividen en varias cadenas que los receptores unen sin nada en medio, y la mayoría de los proveedores de DNS las dividen por usted.

Cloudflare y Azure aceptan el valor completo en un solo campo; Route 53 y Google Cloud DNS piden cadenas de 255 bytes entre comillas. El RFC 7208 pide mantener toda la respuesta por debajo de 450 bytes.

v=spf1 ip4:198.51.100.1 ip4:198.51.100.2 ip4:198.51.100.3 ip4:198.51.100.4 ip4:198.51.100.5 ip4:198.51.100.6 ip4:198.51.100.7 ip4:198.51.100.8 ip4:198.51.100.9 ip4:198.51.100.10 ip4:198.51.100.11 ip4:198.51.100.12 ip4:203.0.113.20 ip4:203.0.113.21 ip4:203.0.113.22 ip4:203.0.113.23 ip4:203.0.113.24 include:_spf.google.com ~all
1255 B272 B
example.com. 3600 IN TXT ( "v=spf1 ip4:198.51.100.1 ip4:198.51.100.2 ip4:198.51.100.3 ip4:198.51.100.4 ip4:198.51.100.5 ip4:198.51.100.6 ip4:198.51.100.7 ip4:198.51.100.8 ip4:198.51.100.9 ip4:198.51.100.10 ip4:198.51.100.11 ip4:198.51.100.12 ip4:203.0.113.20 ip4:203.0.113.21 ip4:203"
	".0.113.22 ip4:203.0.113.23 ip4:203.0.113.24 include:_spf.google.com ~all" )
Un registro largo, tal como lo guarda DNS

Preguntas frecuentes sobre el generador de registros SPF

¿Qué es un registro SPF?

Un registro SPF es un registro TXT en su dominio, que empieza con v=spf1, y lista los servidores autorizados a enviar correo con su dominio en el remitente del sobre. Los receptores comparan el servidor emisor con esa lista y aprueban el mensaje con pass, softfail o fail. Lo define el RFC 7208, y DMARC usa su resultado cuando los dominios se alinean.

¿Cuál es el registro SPF de Google Workspace?

v=spf1 include:_spf.google.com ~all. Ese único include cubre los servidores de envío de Google y cuesta una de sus diez consultas DNS. Si otros servicios también envían como su dominio, agregue sus términos include antes de la terminación y conserve un solo registro: un segundo registro v=spf1 hace que SPF falle para todos.

¿Cuál es el registro SPF de Microsoft 365?

v=spf1 include:spf.protection.outlook.com -all, tal como lo documenta Microsoft; ~all también sirve y es más benigno con el correo reenviado. El include cuesta una consulta DNS. Las nubes gubernamentales usan sus propios include, como spf.protection.office365.us para GCC High, que el generador lista como remitentes aparte.

¿Puedo tener dos registros SPF?

No. Con dos registros v=spf1 en el mismo nombre, los receptores se detienen con un error permanente y SPF falla para todos los mensajes. Únalos: conserve todos los remitentes de ambos en un solo registro con una sola terminación. Cargue su dominio en el generador y él une los duplicados por usted, y luego cuenta las consultas del resultado.

¿Qué pasa si mi registro SPF tiene más de 10 consultas?

Los receptores se detienen en el undécimo término que consulta DNS y devuelven un error permanente, así que SPF falla para todos los mensajes, incluso los legítimos. DMARC aún puede pasar mediante DKIM alineado, pero SPF deja de ayudar. Mueva un remitente a un subdominio, quite a o mx donde esos servidores no envían, o pida al proveedor un include más acotado.

¿Debo usar ~all o -all?

Use ~all en un dominio que envía correo y -all en uno que no. Con ~all, el correo que falla se marca como sospechoso y DMARC decide según DKIM; con -all, algunos receptores lo rechazan sin más, lo que puede atrapar el correo reenviado antes de que DMARC actúe. M3AAWG recomienda ~all para los dominios que envían.

¿Los subdominios necesitan su propio registro SPF?

Sí, si envían correo. SPF no se hereda: news.example.com se verifica con su propio registro TXT, no con el de example.com. Un subdominio que no envía nada debería publicar v=spf1 -all, y servicios como Amazon SES o Mailgun esperan su registro en el subdominio de envío que usted configura con ellos.

¿Dónde agrego el registro SPF?

En su proveedor de DNS, como un registro TXT en el propio dominio: escriba @ en el campo de nombre (Route 53 lo quiere vacío) y pegue el valor. Si ya hay un registro SPF, edítelo en lugar de agregar otro. Elija su proveedor en el generador para ver sus nombres de campo exactos y cómo acepta los valores largos.

¿Qué es el aplanado de SPF y debo usarlo?

Aplanar reemplaza los términos include por las direcciones IP que contienen, de modo que el registro necesita menos consultas DNS. Funciona, pero la copia queda desactualizada cada vez que un proveedor cambia sus direcciones, y el correo desde las nuevas falla SPF. Prefiera un subdominio o un include más acotado; si aplana, revise el registro cada mes.

¿El generador SPF es gratis y se envía algo a su servidor?

Es gratis, sin registrarse. El registro se arma en su navegador, y cada include se cuenta con consultas DNS que su navegador envía por HTTPS al resolvedor de Cloudflare (y al de Google cuando Cloudflare es lento), así que su dominio y su registro no pasan por nuestro servidor. Nada de lo que escribe se guarda.

¿Le falta algo?Sugiera una función o una herramienta nueva

Herramientas relacionadas