Varios registros SPF en un mismo dominio

Qué significa

SPF es un registro TXT de tu DNS que empieza por v=spf1. Las reglas dicen que un dominio solo puede tener uno de estos registros. Si un servidor receptor encuentra dos, no puede saber en cuál confiar, así que se rinde y devuelve un «permerror» (error permanente).

Suele pasar cuando añades un servicio nuevo y sigues su guía al pie de la letra: «añade este registro TXT». Acabas con un registro para tu proveedor de correo y otro para tu herramienta de newsletters.

Por qué importa

Con dos registros SPF, SPF falla en todos tus emails, no solo en los del servicio nuevo. Tus mensajes pierden una prueba importante de identidad, DMARC puede fallar y la entrega en Gmail y Outlook se resiente.

Cómo comprobarlo

Delivmail lo comprueba por ti de dos formas:

• Envía un email de prueba: en la página de inicio, copia tu dirección de prueba única, envíale un email normal desde el buzón que quieres comprobar y abre el informe. SPF muestra «permerror» cuando encuentra varios registros.
• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tus registros DNS sin enviar nada.

El Escáner de dominio muestra todos los registros SPF que encuentra, así puedes verlos uno al lado del otro.

Cómo solucionarlo

1. Abre tu proveedor de DNS y mira todos los registros TXT del propio dominio (host @ o vacío).
2. Busca todos los registros que empiezan por v=spf1. Los demás registros TXT (verificación de sitio de Google, etc.) están bien y deben quedarse.
3. Únelos en una sola línea. Deja un único v=spf1 al principio, pon todos los include:, ip4: y demás partes en medio, y un único ~all o -all al final.
4. Guarda el registro unido y borra los demás.

Ejemplo

Antes, dos registros:

v=spf1 include:_spf.google.com ~all
v=spf1 include:servers.mcsv.net ~all

Después, un registro:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

Consejos

• Si los dos registros terminan de forma distinta (~all y -all), quédate con ~all hasta que estés seguro de que todos tus remitentes están en la lista.
• Los antiguos registros de tipo «SPF» (no TXT) están obsoletos. Si tu proveedor de DNS todavía muestra uno, bórralo y deja solo el registro TXT.
• Unir muchos servicios puede hacerte pasar del límite de 10 consultas DNS. El Escáner de dominio muestra el total: quédate en 10 o menos.
• Los subdominios van aparte: yourdomain.com y news.yourdomain.com pueden tener cada uno su propio registro SPF único.

Comprueba que está solucionado

Los cambios de DNS no son instantáneos. La mayoría se ven en pocos minutos, pero algunos proveedores tardan hasta 24 o 48 horas.

Vuelve a pasar el Escáner de dominio: solo debería aparecer un registro SPF, marcado como válido. Después envía un email de prueba desde la página de inicio. SPF debería superarse.