El SPF termina en +all o ?all (demasiado permisivo)

Qué significa

Un registro SPF enumera los servidores autorizados a enviar emails para tu dominio y termina con una regla para todos los demás servidores. Esa última parte es el mecanismo all, y el símbolo que va delante decide lo que pasa:

• -all (fail): los demás servidores no están autorizados.
• ~all (soft fail): los demás servidores son sospechosos.
• ?all (neutral): ninguna opinión sobre los demás servidores.
• +all (pass), o simplemente all: todos los servidores del mundo están autorizados.

Por ejemplo, este registro parece correcto a primera vista, pero autoriza a todo el mundo:

v=spf1 include:_spf.google.com +all

Por qué importa

• Con +all, el servidor de un spammer supera el SPF de tu dominio. Tu registro ya no te protege, y los receptores lo ven como señal de una configuración descuidada.
• Con ?all, el SPF no da ningún resultado útil para los servidores desconocidos, así que no aporta nada contra la suplantación.
• Algunos filtros de spam suman puntos a los emails de dominios con estos finales.

Estos finales suelen añadirse «para que funcione» cuando un email fallaba el SPF. La verdadera solución es añadir el remitente que falta.

Cómo comprobarlo

Analiza tu dominio en /domain-scanner para ver tu registro SPF. O envía un email de prueba a tu dirección de la página de inicio (/): la sección SPF muestra el registro usado.

Cómo solucionarlo

1. Haz una lista de todos los servicios que envían emails por ti: tu proveedor de correo, tu herramienta de newsletters, tu tienda online, tu CRM, tu herramienta de facturación, el formulario de contacto de tu web, tus propios servidores.
2. Asegúrate de que cada uno está en el registro, con el valor include: de sus páginas de ayuda o un ip4: para tu propio servidor.
3. Cambia el final en tu proveedor de DNS. Edita el registro TXT existente; no crees un segundo registro SPF.

Punto de partida seguro:

v=spf1 include:_spf.google.com include:spf.newsletter-example.com ~all

Cuando estés seguro de que la lista está completa:

v=spf1 include:_spf.google.com include:spf.newsletter-example.com -all

¿Cuál elegir?

• ~all es una buena opción mientras sigues localizando todos tus remitentes, y funciona bien con DMARC.
• -all es el más estricto. Úsalo cuando tus informes DMARC muestren que todos tus remitentes reales lo superan.
• Para un dominio que nunca envía emails: v=spf1 -all.

Vigila los problemas después del cambio

Si un servicio olvidado dependía de +all, sus emails fallarán ahora el SPF. Los informes agregados DMARC son la forma más fácil de detectarlo: muestran todas las IP que envían con tu dominio y si lo superaron. La monitorización DMARC del panel de pago lee estos informes por ti.

Comprueba que está solucionado

Espera a que el DNS se actualice, normalmente entre unos minutos y unas horas. Vuelve a ejecutar /domain-scanner: el registro debería terminar en ~all o -all. Después envía una prueba desde cada uno de tus servicios de envío a la dirección de la página de inicio y comprueba que el SPF se sigue superando para todos.