Que es SPF o Sender Policy Framework en email

En la actualidad, un gran porcentaje de la publicidad y comunicaciones que se envían y reciben (tanto si somos empresas como si somos usuarios finales) son a través del correo electrónico, por eso mejorar la entrega de nuestros correos y su seguridad cobra especial importancia.

En este post vamos a ver una de las medidas que, como remitentes de correos electrónicos, podemos implementar para ayudar a que los correos que enviamos se entreguen correctamente.



Con esta información que puedes leer en este artículo, podemos crear o editar nuestro registro SPF para asegurarnos de que nuestros correos llegan correctamente a su destino, y dar mayor reputación a los mismos. No obstante, es importante que la configuración del SPF no es la única que debemos tener en cuenta a la hora de enviar correos, y que un SPF correctamente configurado ayuda a mejorar la entrega de estos, pero no garantiza al 100% que todos nuestros correos vayan a entregarse en destino.



 

Que es un registro SPF y para que se utiliza

El registro SPF, también conocido como "Sender Policy Framework" es un registro DNS de tipo TXT que se utiliza para mejorar la seguridad y entregabilidad de los correos, junto con otras configuraciones como DKIM y DMARC.

La labor del SPF es verificar quién puede enviar correos electrónicos en nombre de un dominio, lo que ayuda a evitar que se pueda suplantar el origen de un email y mejora la entrega de aquellos que sean verídicos.

Se puede comparar con algo más común como puede ser una cuenta bancaria: el registro SPF sería lo equivalente a las personas titulares o autorizadas en dicha cuenta, que serían las que pueden operar con la misma, y los valores que se incluyen en el SPF definen los servidores que pueden enviar correo en nombre de un dominio, y al igual que una persona que no figure como titular o autorizada en una cuenta bancaria no podrá operar en la misma, el servidor que no esté configurado en el SPF como autorizado, no estaría autorizado para enviar correos en nombre de ese dominio.

 

Como funciona el SPF y su importancia en el envío de correos

Cuando enviamos un correo electrónico realizamos una conexión a través de SMTP al servidor de origen, que lo envía al servidor de destino.

El servidor de destino es el encargado de realizar la comprobación del SPF, obteniendo la información del dominio del y consultando la información DNS asociada (donde figura su registro SPF si está configurado), este será el encargado de indicar si el remitente del mensaje debe autorizarse, según la configuración establecida en el registro y la información asociada al correo electrónico.



Una configuración incorrecta del SPF de nuestro dominio puede afectar a la entrega de correos electrónicos enviados en nombre del mismo, provocando que se entreguen en la bandeja de SPAM en los servidores de destino, que estos los rechacen; o en casos más graves, permitiendo que alguien pueda suplantar nuestra identidad, lo que facilitaría que los destinatarios puedan ser víctimas de técnicas como el phishing o spoofing.

 

Estructura de un registro SPF

El registro SPF se compone de: versión, mecanismos y calificadores.

• v=spf1: es la versión del SPF, y la primera etiqueta del registro.

Los mecanismos indican quién está autorizado a enviar correos en nombre de un dominio, serían los siguientes:

• ip4: autoriza servidores de correo mediante una IP o rango de IPs, que deberán ser en formato IPv4.


• ip6: autoriza servidores de correo mediante una IP o rango de IPs en formato IPv6.


• a: autoriza servidores de correo por el nombre de dominio, por ejemplo: a:raiolanetworks.es autorizará las IPs que figuren en los registros DNS de tipo A de este dominio y, si no se especifica dominio, autorizará las IPs de los registros A del propio dominio.


• mx: autoriza los servidores de correo por el registro mx de un dominio, por ejemplo: mx:mail.raiolanetworks.es, en caso de no incluirlo el valor por defecto serán los registros MX del dominio en cuestión.


• include: nos permite incluir dominios externos en base a su SPF.


• all: indica qué hacer con los mensajes cuyo remitente no coincida con ninguno de los mecanismos anteriores, deberá ser el último especificado en el registro, ya que cualquier mecanismo posterior se ignorará.

Los calificadores son una parte opcional, se pueden aplicar a los mecanismos para especificar a los servidores de destino qué hacer con los mensajes que coincidan.

• +: Indica que se autenticaría el mensaje que coincida con el mecanismo en cuestión.


• -: Es el calificador de fallo o hardfail, se rechazarían los mensajes cuyo origen coincida con el mecanismo que lo incluya.


• ~: Calificador softfail, la autenticación se superaría, pero es muy probable que se marque como sospechoso.


• ?: Sería una validación neutral, si no se especifica en el registro SPF.

 

Si el mecanismo no incluye calificador se utiliza por defecto la lógica de «+»

 

Cómo crear un registro SPF en cPanel

Ahora que conocemos la estructura que debe tener un registro SPF, vamos a ver cómo podemos crearlo o editarlo en cPanel.

En los planes de hosting compartido de Raiola Networks este registro se crea por defecto cuando se añade un dominio al panel de control, podemos verlo o editarlo desde la sección “Editor de zonas”:



En él podemos ver las diferentes partes del registro, y que se autorizan a enviar correo en nombre del dominio ‘registrospf.es’ los siguientes remitentes (por orden de aparición): las IPs a las que apunten los registros de tipo A y MX del dominio, se incluyen también los remitentes autorizados por el SPF de raiolanetworks.com, y por último especifica que los mensajes cuyo remitente no coincida con ninguno de los autorizados en los mecanismos anteriores, se validarían, pero se marcarían como sospechosos (debido a ~all).

Por si no te ha quedado claro, te dejamos este video sobre como editar registros DNS en cPanel que puedes ver en nuestro canal de Youtube:

 

Cómo crear un registro SPF en RaiolaCP

En el caso de tener contratado un servidor VPS optimizado con Raiola Control Panel o con VestaCP, también se creará por defecto el registro al añadir el dominio, y podremos visualizarlo en el apartado ‘DNS’:

Si tenemos un servicio que utiliza la zona DNS para VPS de Raiola Networks, necesitaremos crear la zona también en el panel de administración del producto.

Comprobar el registro SPF y buenas prácticas

Generalmente, si no realizamos cambios de servidor, o de proveedor de correo, es posible que no necesitemos modificar el registro SPF, no obstante, otras configuraciones como pueden ser el uso de herramientas de email marketing sí van a requerir hacer cambios en este registro DNS y en este caso, es aconsejable tener en cuenta alguna de las características de este registro:

• Debemos configurar únicamente un registro SPF por dominio, si necesitamos incluir algún servidor o IP en el registro, lo aconsejable es añadirlo al registro ya existente con los mecanismos especificados anteriormente, no crear uno nuevo.


• Este registro tiene un máximo de 10 peticiones DNS, por lo que a la hora de incluir servidores o IPs debemos tener en cuenta este límite (que incluye también las consultas que realizan los dominios configurados con el mecanismo «include»).

Si realizamos cambios de proveedor, servicio de correo, herramientas de email marketing, etc. es importante asegurarnos de que el registro SPF es correcto para la nueva configuración que vayamos a utilizar

Podemos verificar nuestro registro con herramientas como: https://mxtoolbox.com/spf.aspx o https://dnschecker.org/spf-record-validation.php