SPF falla: el servidor de envío no está autorizado

Qué significa

Tu dominio tiene un registro SPF, la lista de servidores que pueden enviar emails por ti. Pero el email que has probado salió de un servidor que no está en esa lista. El receptor lo ve como un posible email falso.

El resultado puede aparecer como «fail» (tu registro termina en -all) o «softfail» (tu registro termina en ~all).

Por qué importa

Un SPF fallido es una señal fuerte de spam. Si DKIM no lo compensa, DMARC también falla y tu email puede ir a spam o ser rechazado. Normalmente significa que se olvidó una de tus herramientas de envío al configurar SPF.

Cómo comprobarlo

Delivmail lo comprueba por ti de dos formas:

• Envía un email de prueba: en la página de inicio, copia tu dirección de prueba única, envíale un email normal desde el buzón que quieres comprobar y abre el informe. La línea SPF muestra la dirección IP del servidor que envió el email y qué dominio se comprobó.
• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tus registros DNS sin enviar nada.

La sección «Infraestructura de envío» del informe también te dice de qué proveedor salió el email. Esa es tu pista.

Cómo solucionarlo

1. Identifica al remitente. ¿La prueba salió de tu buzón normal, de tu web, de tu tienda, de una herramienta de newsletters o de una impresora/escáner? Mira el nombre del proveedor y la dirección IP en el informe.
2. Busca el valor SPF de ese servicio en sus páginas de ayuda. Busca «SPF» junto con el nombre del servicio.
3. Añádelo a tu registro SPF actual. No crees un segundo registro: edita el que ya tienes.

Ejemplos

Usas Google Workspace y olvidaste tu herramienta de newsletters:

v=spf1 include:_spf.google.com include:spf.newsletter-example.com ~all

Tu web envía los emails del formulario de contacto desde su propio servidor, IP 203.0.113.10:

v=spf1 include:spf.protection.outlook.com ip4:203.0.113.10 -all

Situaciones habituales

• Has cambiado de proveedor: el SPF todavía incluye el antiguo. Sustitúyelo por el include del nuevo.
• Microsoft 365: el valor es include:spf.protection.outlook.com.
• Google Workspace: el valor es include:_spf.google.com.
• Web (WordPress, tienda): suelen enviar directamente desde el hosting. Una opción mejor es hacer que la web envíe a través de tu proveedor de correo o de un servicio de email con un plugin SMTP, así ya queda cubierta.
• Reenvíos: si otro servidor reenvía un email, SPF puede fallar aunque todo esté bien. DKIM es lo que resiste al reenvío, así que asegúrate de tener DKIM configurado también.

¿Qué dominio se comprueba?

SPF comprueba el remitente oculto del «sobre» (también llamado Return-Path), no siempre la dirección que ve la gente. Muchas herramientas de newsletters ponen ahí su propio dominio. En ese caso, SPF se supera para su dominio, y necesitas DKIM en tu propio dominio para que DMARC se supere. Consulta la guía sobre la alineación DMARC.

Comprueba que está solucionado

Los cambios de DNS no son instantáneos. La mayoría se ven en pocos minutos, pero algunos proveedores tardan hasta 24 o 48 horas.

Envía un nuevo email de prueba desde el mismo servicio que falló. El informe debería mostrar que SPF se supera para la IP de envío. Si usas varias herramientas, prueba cada una.