¿Qué es SPF (Sender Policy Framework)?

Cómo funciona el SPF

El SPF es una conversación corta entre el servidor que recibe y el DNS de quien dice haber enviado. Ocurre en milisegundos, antes de que el mensaje sea aceptado.

Fuente: RFC 7208, la especificación oficial del SPF publicada por el IETF, que define la autorización de hosts y la identidad verificada, y el material de configuración de DNS de correo de N-able University.

Lo que el SPF no cubre

• Verifica el sobre, no lo que usted lee. La propia especificación advierte que un correo autorizado por SPF puede contener otras identidades falsas. El remitente que aparece en pantalla puede ser de otro dominio, y el SPF no lo mira.
• Se rompe cuando el mensaje se reenvía. Un servidor que reenvía pasa a ser el origen, y no está en la lista del dominio original. El correo legítimo falla la verificación sin que nadie haya hecho nada mal.
• Tiene un presupuesto de consultas. La especificación limita a diez los términos del registro que exigen consulta al DNS. Pasada la décima consulta, la verificación devuelve error permanente y se detiene ahí: quien está al final de la lista deja de estar autorizado, aunque sea legítimo.
• No le dice a quien recibe qué hacer. El SPF informa si el origen estaba autorizado; quien convierte ese resultado en acción sobre el remitente visible es el DMARC.

Lo que cambia al final del registro

• Rechazo firme (-all) Escrito como un guion antes de all, declara que quien no está en la lista no está autorizado, punto. Es la única instrucción sobre la que buena parte de los filtros realmente actúa.
• Marca débil (~all) Escrita como una virgulilla antes de all, dice que el mensaje probablemente no está autorizado, pero no pide nada. Muchos filtros solo lo registran y entregan igual, lo que hace que el dominio parezca protegido sin estarlo.
• Neutro (?all) Escrito con un signo de interrogación, declara explícitamente que el dominio no se compromete con ninguna respuesta. La norma manda tratarlo exactamente como la ausencia de política (RFC 7208, sección 8.2).
• Autorizar a todos (+all) El signo de más antes de all autoriza a cualquier servidor del planeta a enviar por el dominio. Aparece por error en registros copiados de tutoriales y es peor que no tener SPF.

Por qué tantos registros de SPF no protegen nada

El SPF es el más antiguo de los tres registros y el que más mantenimiento acumula: cada servicio nuevo que empieza a enviar en nombre de la empresa exige una modificación en él. Por ahí entran los dos defectos silenciosos que explican la mayoría de los casos. El primero es terminar la lista con la marca débil: el dominio aparece con SPF publicado en cualquier verificación, el informe interno dice que la empresa está al día, y aun así el mensaje falsificado sigue entregándose, porque la terminación débil no le pide ninguna acción a quien recibe. La documentación de Microsoft es más dura: cuando el mensaje tampoco trae firma, la política de DMARC termina ignorada en las fallas de la terminación débil. Por eso la recomendación oficial es cerrar con rechazo firme. El segundo es agotar el presupuesto de consultas: cada servicio tercerizado incluido en el registro consume parte del límite de diez, y una empresa que fue sumando correo corporativo, plataforma de marketing, emisor de facturas y herramienta de soporte cruza el techo sin darse cuenta. Cuando eso ocurre, la verificación empieza a devolver error permanente para los remitentes que están al final de la lista, y el dominio queda peor que antes de publicar el registro: además de no frenar lo falsificado, empieza a derribar parte del correo legítimo de la propia empresa. En ambos casos el registro existe y no protege, que es la peor de las situaciones: la empresa cree estar cubierta y no lo está. Y el segundo defecto además cobra su precio del otro lado: la factura que no llega, la propuesta que desaparece, la campaña que rebota. Ese costo no aparece en una factura, aparece en el cliente que llamó a preguntar por qué no recibió nada.

Cómo publicar un SPF que realmente valga

Un registro de SPF bien hecho es corto, único y cerrado. El camino hasta ahí tiene cinco pasos:

1. Inventaríe todos los remitentes antesEnumere todo lo que envía con el dominio, incluso lo que se contrató fuera del área de tecnología: la herramienta de correo masivo, el sistema de facturas, el formulario del sitio, el servicio de firma de documentos. Lo que quede afuera terminará en spam cuando la lista se cierre.
2. Publique un único registro por dominioDos registros de SPF en el mismo dominio invalidan la verificación. Si hay varios servicios, todos entran en el mismo registro, nunca en registros separados.
3. Manténgase debajo del techo de diez consultas (pasado eso el registro da permerror)Cuente los términos que exigen consulta al DNS y deje margen. Si ya se pasó, quite servicios que ya no envían o consolide las inclusiones, en lugar de convivir con el error permanente.
4. Termine con rechazo firme cuando el inventario esté cerradoLa terminación débil es una etapa de transición, no un destino. Existe para el período en que todavía se está descubriendo quién envía.
5. Publique también en los subdominios que envíanUn subdominio no hereda el SPF del dominio principal. Cada uno que envía necesita su propio registro, y los que no envían se benefician de un registro que no autoriza a nadie.

Preguntas frecuentes sobre SPF