Sender Policy Framework, o SPF, es un protocolo de autenticación de correo electrónico que permite a los propietarios de dominios especificar los servidores que están autorizados a enviar correos electrónicos en nombre de sus dominios.
Cuando se envía un correo electrónico desde su dominio, los servidores de correo electrónico receptores comprueban su DNS en busca de un registro SPF. Este registro contiene una lista de todas las direcciones IP que están autorizadas a enviar correo electrónico desde su dominio. Si la dirección IP del remitente coincide con una de las direcciones del registro SPF, el correo electrónico se autentifica.
El registro SPF es crucial para implementar el SPF en su dominio. Se publica como un registro TXT en su DNS que puede modificarse según las características específicas de su dominio. Este es un ejemplo de un registro SPF:
v=spf1 a mx ip4: 39.72.122.191 include:_spf.google.com ~all
Vamos a desglosar cada elemento de este disco para saber qué hace cada uno.
Versión
Un registro SPF siempre comienza con 'v=', que indica la versión de SPF que se está utilizando. spf1 es la versión más utilizada de SPF y es entendida por todos los clientes de correo electrónico.
Mecanismo
Los mecanismos son elementos del registro SPF que indican al servidor receptor que compruebe determinados registros en el DNS o que utilice determinados protocolos al realizar la autenticación SPF.
a - Se comprueban todos los registros A del dominio para el que se publica el registro SPF. Si la dirección IP del remitente coincide con una IP del registro A, este mecanismo pasa.
ip4 - Especifica un rango de red IPv4 para la dirección IP del remitente.
ip6 - Especifica un rango de red IPv6 para la dirección IP del remitente.
mx - Los registros MX especifican qué servidores deben utilizarse para retransmitir los correos electrónicos. Si la dirección IP del remitente coincide con uno de los registros MX del dominio para el que se publica el registro SPF, este mecanismo pasa.
ptr - El nombre de host de la IP del remitente se busca mediante consultas PTR. Si un nombre de host termina en un dominio que coincide con aquel para el que se publica el registro SPF, este mecanismo pasa. Las consultas PTR deben evitarse en la medida de lo posible para limitar el número de búsquedas DNS costosas.
existe - Realiza una consulta A en el dominio especificado. Si se encuentra un resultado, este mecanismo pasa.
incluir - Se busca una coincidencia en el dominio especificado. Si el dominio no tiene su propio registro SPF válido, se produce un error permanente.
todo - Este mecanismo siempre coincide. Se utiliza con un calificador para incluir todas las IP con las que no coinciden los otros mecanismos. Suele añadirse al final del registro SPF.
Calificador
"+" - Pasa. El registro SPF designa la dirección IP a la que se le permite enviar.
"-" - Fallo. El registro SPF designa la dirección IP que NO puede enviar.
"~" - SoftFail. El registro SPF designa que la dirección IP NO puede enviar, pero está en transición.
"?" - Neutral. El registro SPF designa que no se puede decir nada sobre la validez de la dirección IP.
Los mecanismos están configurados por defecto en Pass.
En el ejemplo anterior, el uso de 'a' y 'mx' equivale a '+a' y '+mx'. Sin embargo, '~todos' nos indica que todas las direcciones IP que no coincidan con 'a' y 'mx' deben ser consideradas como un SoftFail según el SPF.
Modificador
Los modificadores son opcionales y sólo pueden utilizarse una vez por registro.
redirigir - Se utiliza para apuntar al registro SPF de otro dominio. Esto es para cuando tienes varios dominios pero quieres usar los mismos datos del registro SPF en todos ellos. El segundo dominio debe tener su propio registro SPF válido. redirigir sólo se utiliza cuando se controlan ambos dominios, de lo contrario incluir se utiliza.
exp - Si un servidor receptor rechaza un mensaje, puede dar una explicación.
Limitaciones de los registros SPF
Para reducir la carga de procesamiento en los servidores de correo electrónico receptores, los registros SPF tienen ciertas limitaciones incorporadas que hay que respetar.
Sólo 1 registro SPF por nombre de dominio - Para implementar correctamente el SPF, sólo puede publicar un registro SPF en su DNS para cada dominio. Si hay más de uno, el servidor receptor no sabe cuál comprobar, y su correo electrónico falla la autenticación SPF.
Máximo de 10 búsquedas de DNS - Su registro SPF no puede tener más de 10 mecanismos que den lugar a búsquedas de DNS.
Un máximo de 10 registros MX - Al analizar los registros mx hay un límite de 10 registros MX que el servidor puede consultar.
Un máximo de 10 consultas PTR - Al analizar el ptr el servidor no puede realizar más de 10 consultas PTR.
PowerSPF
Cuando se superan las 10 búsquedas de DNS en el registro SPF, la autenticación SPF falla automáticamente. Para solucionar esto, PowerDMARC ha creado una función innovadora: PowerSPF. Con un solo clic, puede optimizar y acortar la longitud y el número de búsquedas de DNS en su registro SPF. Puede obtener la máxima entregabilidad con casi ningún esfuerzo.