Comprobar SPF: ¿quién puede enviar email en nombre de este dominio?

SPF es el registro DNS en el que un dominio enumera los servidores autorizados a enviar su correo. Sin él, o con uno roto o demasiado abierto, es más fácil enviar emails falsos en nombre de ese dominio. Escribe un dominio, una dirección de email o un enlace y leemos su SPF y te lo explicamos.

Añadir como fuente preferida Descargar enGoogle Play Descargar enApp Store

Cómo se usa

Escribe el dominio que quieres revisar, o pega una dirección de email o un enlace: solo usamos su dominio.
Pulsa «Comprobar SPF». Leemos el registro SPF y seguimos cada include, igual que haría un servidor que recibe el correo.
Fíjate en cómo termina el registro y en el número de consultas: lo que quieres ver es «-all» o «~all» y 10 consultas o menos.

Qué significa cada resultado

Este dominio no tiene SPF: No dice qué servidores pueden enviar su correo, así que es más fácil suplantarlo. Si es tu dominio, publica un registro SPF.
El registro SPF tiene errores: Los servidores que reciben el correo no pueden aplicarlo, así que para ellos el dominio no tiene SPF. Las señales de abajo dicen qué falla.
Cualquiera puede enviar email en nombre de este dominio: El registro termina en «+all», que autoriza a todos los servidores del mundo. Así configurado, SPF no protege nada.
El SPF no protege del todo el dominio: El registro no dice qué hacer con los servidores que no están en su lista, así que el correo falso en nombre del dominio no se marca.
El SPF está bien configurado: El dominio enumera los servidores que pueden enviar su correo y pide marcar o rechazar el resto. SPF por sí solo no frena la suplantación: es DMARC el que dice a los servidores qué hacer.

Qué significa cada señal

El dominio no publica ningún registro SPF.
Un dominio (este o uno incluido) publica más de un registro SPF. Solo se permite uno, así que los servidores lo dan por erróneo.
El registro tiene un término mal escrito, así que los servidores lo dan por erróneo.
El registro necesita más de 10 consultas DNS contando todos sus include. Por encima de 10, los servidores lo dan por erróneo.
Un include apunta a un dominio que no tiene registro SPF, así que los servidores dan el registro por erróneo.
Los include forman un bucle: un dominio acaba incluyéndose a sí mismo.
Termina en «+all»: cualquier servidor del mundo puede enviar email en nombre de este dominio.
Termina en «?all»: no dice nada de los servidores que no están en la lista, así que no protege.
Termina en «~all»: el correo de otros servidores se marca como sospechoso, pero no se rechaza. Es lo más habitual.
No tiene «all» al final, así que los servidores que no están en la lista reciben un resultado neutro y ninguna protección.
Usa «ptr», un mecanismo lento que el estándar desaconseja. Muchos servidores lo ignoran.
Usa macros (términos con %) que cambian con cada mensaje, así que no podemos seguir esa parte y el número real de consultas puede ser mayor.

Qué países cubre

Funciona con dominios de cualquier país. Leemos el registro como lo hacen los servidores que reciben el correo (RFC 7208): sus mecanismos, cómo termina, cada include y redirect hasta 30 consultas y el número de consultas DNS frente al límite de 10.

Leemos los registros DNS públicos del dominio. Si escribes una dirección de email o un enlace, solo sale de tu navegador su dominio. No guardamos el dominio que consultas.

Preguntas frecuentes

¿Qué es SPF?

Sender Policy Framework: un registro DNS en el que un dominio enumera los servidores autorizados a enviar su correo. El servidor que recibe un mensaje comprueba si el servidor que se lo entregó está en esa lista.

¿Qué es mejor, «-all» o «~all»?

«-all» pide rechazar el correo de los servidores que no están en la lista; «~all» pide marcarlo como sospechoso. Los dos protegen, y muchos dominios usan «~all» y dejan que DMARC decida qué hacer. «+all» y «?all» no protegen.

¿Por qué importa el límite de 10 consultas?

Cada include, a, mx, ptr, exists y redirect obliga al servidor que recibe el correo a consultar el DNS. Si el registro entero necesita más de 10, se da por erróneo y SPF deja de funcionar. Quita los servicios que ya no uses o pide a tu proveedor un include más sencillo.

¿SPF frena por sí solo los emails falsos?

No. SPF comprueba el remitente oculto del sobre, no la dirección que ves en «De». Es DMARC el que une las dos y pide mandar a spam o rechazar el correo que falla. Revisa también el DMARC del dominio.