Aplanar SPF (flattening): cuándo ayuda y qué puede salir mal

Qué significa

Un registro SPF puede provocar como máximo 10 consultas DNS. Cada include: cuenta, y también los includes escondidos dentro de él. Con varios servicios, llegas rápido a 11 o más, y SPF devuelve un error (permerror).

Aplanar (flattening) significa sustituir los includes por las direcciones IP a las que apuntan. Por ejemplo:

Before: v=spf1 include:_spf.example-provider.com ~all
After:  v=spf1 ip4:198.51.100.0/24 ip4:203.0.113.0/24 ~all

Las entradas ip4: e ip6: no cuestan ninguna consulta, así que el registro queda muy por debajo del límite.

Por qué importa

Aplanar resuelve el problema de las consultas, pero trae riesgos nuevos:

• Los proveedores cambian sus direcciones IP. Google, Microsoft y las herramientas de newsletters añaden servidores con regularidad. Una copia aplanada no se actualiza. Los servidores nuevos fallan SPF sin ningún aviso.
• Los registros se alargan. Los grandes proveedores tienen decenas de rangos. Un registro SPF muy largo debe dividirse en varias cadenas y puede superar los límites de tamaño del DNS.
• Nadie se acuerda. Un año después, nadie sabe de dónde salieron las direcciones IP ni cuál se puede quitar.

Cómo comprobarlo

Delivmail lo comprueba por ti de dos formas:

• Envía un email de prueba: en la página de inicio (/), copia tu dirección de prueba única, envíale un email normal desde el buzón o la herramienta que quieres comprobar y abre el informe.
• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tus registros SPF, DMARC y MX sin enviar nada.

La línea SPF del informe y el escáner te dicen si tu registro es válido o supera las 10 consultas.

Cómo solucionarlo

1. Prueba primero las soluciones sencillas

• Quita los includes de los servicios que ya no usas.
• Quita los duplicados, como a y mx cuando apuntan a servidores que no envían emails.
• Comprueba si una herramienta necesita de verdad un include. Muchas herramientas de newsletters usan su propio dominio de return path, así que SPF se comprueba ahí y no en tu dominio principal.
• Lleva los envíos masivos a un subdominio como news.yourdomain.com, con su propio registro SPF.

2. Si aún necesitas aplanar, aplana solo una parte

Conserva los includes de los grandes proveedores que cambian a menudo (tu proveedor de correo), y aplana solo los servicios pequeños y estables cuyas direcciones casi nunca cambian, como tu propio servidor.

3. Mejor un servicio automático

Algunos servicios DNS o DMARC ofrecen un aplanado «dinámico»: comprueban cada día las direcciones IP de los proveedores y actualizan el registro por ti. Si aplanas a mano, ponte un recordatorio mensual para comparar tu lista con la lista actual del proveedor.

4. Mantén DKIM funcionando

Aunque SPF se rompa tras un cambio, una firma DKIM válida mantiene DMARC superado. Asegúrate de que todos los servicios firman con DKIM para tu dominio.

Comprueba que está solucionado

Vuelve a pasar el Escáner de dominio: tu registro SPF debería ser válido y estar por debajo de 10 consultas. Después envía un email de prueba desde cada servicio a una nueva dirección de prueba de Delivmail y comprueba que SPF se supera. Repite estas pruebas cada pocos meses si aplanaste a mano.