¿Cómo funciona SPF?

Creación de un registro SPF

Creas una sintaxis de registro SPF en tu servidor DNS que especifica qué direcciones IP están permitidas para enviar correos electrónicos desde tu dominio. Esto significa que si alguien intentara enviar correos electrónicos falsificados desde tu dominio, sus mensajes fallarían porque la dirección IP de su servidor de correo no estaría listada como uno de los servidores aprobados.

Por ejemplo, si deseas que solo las cuentas de Gmail puedan enviar correos desde tu nombre de dominio, pero no las cuentas de Outlook, entonces agregarías la siguiente línea a tu registro SPF:

v=spf1 a mx include:_spf.google.com ~all

Esto indica a los servidores que cualquier mensaje enviado desde cualquier host cuya dirección IP termine en _spf.google.com debe considerarse válido, mientras que todos los demás mensajes deben ser descartados.

Búsqueda en DNS

Cuando un remitente de correo electrónico intenta enviar un mensaje, el servidor destinatario realiza una búsqueda en DNS del dominio del remitente para verificar si existe un registro SPF, esto se llama "autenticación". Existe un límite de 10 búsquedas permitidas por consulta; superar este límite resulta en un SPF permerror.

Si no hay un registro SPF, entonces la autenticación falla y el mensaje no se entrega. Si hay un registro SPF, el servidor SPF verifica las direcciones IP en el registro TXT en el nombre de host especificado en el registro SPF.

Si no se especifican direcciones IP, entonces la autenticación fallará. De lo contrario, realizará una consulta A para cada dirección IP especificada en el orden de aparición en el registro TXT.

La dirección IP que devuelve un código de resultado de NXDOMAIN o NOERROR será considerada autorizada por el servidor SPF y su nombre de host se añadirá a una lista de hosts de envío autorizados para ese dominio.

Resultado de la Autenticación

El servidor de correo electrónico entrega el mensaje al destinatario o lo marca para rechazo basándose en las reglas especificadas en el registro SPF.

Los resultados de autenticación pueden tomar tres formas: Pass (Pasar),Neutral (Neutral) o Fail (Fallar).

Pass significa que el servidor de correo acepta el mensaje como legítimo y permite su entrega. Neutral significa que no hay ningún registro o uno inválido para ese dominio en el DNS, por lo que no hay forma de saber si este es un mensaje legítimo desde ese dominio. Fail significa que algo en este mensaje no fue lo suficientemente auténtico como para ser entregado.

Por ejemplo, un servidor de correo con la dirección IP '234.2.1.2' envía un correo electrónico desde 'join@apple.com'. El servidor entrante consultará el servicio de nombres de dominio (DNS) para determinar si esta dirección IP está autorizada para enviar correos electrónicos en nombre del dominio 'apple.com'. Si es así, el mensaje se entregará; de lo contrario, se descartará o se marcará como spam, es decir, se ordenará según el mecanismo especificado en el registro SPF.