SPF ~all o -all: ¿qué final elegir?

Qué significa

Un registro SPF enumera los servidores que pueden enviar emails en nombre de tu dominio. Su última parte, llamada mecanismo «all», indica qué hacer con todos los demás servidores:

• ~all (soft fail): «los demás servidores probablemente no son míos, trata el email con desconfianza».
• -all (hard fail): «los demás servidores no tienen permiso para enviar en mi nombre».
• ?all (neutral): «no digo nada». Casi no protege.
• +all: «cualquiera puede enviar en mi nombre». No lo uses nunca.

v=spf1 include:_spf.google.com ~all
v=spf1 include:_spf.google.com -all

Por qué importa

• Con DMARC configurado, la diferencia es pequeña. La mayoría de los grandes buzones, como Gmail y Outlook, deciden según tu política DMARC, no solo según el final de SPF. Un fail o un soft fail de SPF cuentan igual como «SPF no se superó» para DMARC.
• Sin DMARC, algunos servidores rechazan directamente los fallos con -all, mientras que solo marcan como sospechosos los fallos con ~all.
• Si olvidaste un servicio de envío en tu lista, -all puede hacer que se rechacen sus emails, sobre todo cuando se reenvían o no tienen DKIM.
• -all le dice claramente al mundo que tu lista está completa, lo que ayuda a proteger tu dominio contra la suplantación.

Cómo comprobarlo

• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tu registro SPF y su final.
• Envía un email de prueba: en la página de inicio, copia tu dirección de prueba única, envíale un email normal desde el buzón o la herramienta que quieres comprobar y abre el informe. La línea SPF muestra «pass», «softfail» o «fail» para el servidor que lo envió.

Cómo elegir

Usa ~all cuando

• Estás configurándolo todo y aún no estás seguro de que todos los servicios estén en la lista.
• Algunos de tus emails no están firmados con DKIM.
• Tus emails se reenvían a menudo (por ejemplo a direcciones de universidades o de antiguos proveedores de internet) y no tienes DKIM para salvarlos.

Usa -all cuando

• Has incluido todos los servicios que envían por ti y has comprobado cada uno con un email de prueba.
• Todos firman con DKIM en tu dominio.
• Tienes DMARC y sus informes no muestran ninguna fuente legítima que falle.
• El dominio no envía ningún email: en ese caso usa v=spf1 -all.

Cómo cambiar sin riesgo

1. Empieza con ~all y publica un registro DMARC con una dirección rua para recibir los informes.
2. Lee los informes durante dos a cuatro semanas. El panel de pago de Delivmail incluye una monitorización DMARC que los convierte en una lista de remitentes fácil de leer.
3. Añade a SPF cualquier servicio que falte, y configura DKIM para él.
4. Cambia el final a -all en tu proveedor de DNS. Edita el registro existente; no añadas un segundo registro SPF.
5. Sigue vigilando los informes unas semanas más.

Recuerda: la verdadera protección viene de DMARC con una política quarantine o reject. Comparado con eso, el final de SPF es un detalle.

Comprueba que está solucionado

Los cambios de DNS no son instantáneos. La mayoría se ven en pocos minutos, pero algunos proveedores tardan hasta 24 o 48 horas.

Vuelve a pasar el Escáner de dominio para ver el nuevo final y después envía un email de prueba desde cada uno de tus servicios de envío. Cada informe debería mostrar SPF superado.