Comprobador de registros SPF

Qué es el límite de consultas de SPF

Un registro SPF es una línea de texto en el DNS que enumera quién puede enviar correo en nombre de tu dominio. Los servidores receptores lo evalúan, y algunos de sus términos les obligan a preguntar otra cosa al DNS: include, a, mx, ptr y exists, más el modificador redirect. El RFC 7208 pone un techo duro a eso: las implementaciones deben limitar esos términos a diez durante la evaluación, y si se supera el límite deben devolver permerror.

Permerror no es un rebote. Significa que SPF no llegó a evaluarse, así que tu correo llega sin ningún pase SPF detrás, lo que a su vez debilita DMARC y empeora la entrega de formas que nadie te comunica. Nada da error, nada se registra, y el registro sigue pareciendo perfectamente razonable cuando lo lees.

Los demás términos son gratis. all, ip4, ip6 y el modificador exp aparecen en el mismo párrafo como no causantes de consultas, así que un registro con trescientos rangos de IP no cuesta nada, mientras que uno con once includes ya está roto. Esa asimetría lo es todo, y esta página te enseña cuáles de tus términos gastan del presupuesto.

Cómo se usa

1. Pega el registro. El valor TXT en sí, empezando por v=spf1. Los ejemplos cubren un registro sencillo, uno cargado, uno roto por sí mismo y un registro real de cuatro términos que está roto igualmente.
2. Lee el presupuesto. Tres números: lo que gasta este registro, el límite de diez, y cuántos de sus términos son includes cuyo coste propio aquí se desconoce.
3. Lee las comprobaciones estructurales. Lo que se puede zanjar solo con el texto: que falte un all, términos tras el all que nunca se alcanzan, +all, un redirect muerto, ptr.

Por qué esta herramienta no puede decirte que tu registro esté bien

Todo en este sitio se ejecuta en tu navegador, y un navegador no puede hacer consultas DNS. Así que esta página puede contar los términos que causan consultas en el registro que tiene delante y nada más. Cada include cuesta una consulta más lo que cueste su propio registro, y esa segunda parte necesita DNS.

Queríamos saber cuánto importa eso, así que resolvimos los registros SPF de los 250 dominios con más tráfico de la web y seguimos cada include hasta el fondo. 198 publican un registro. Ninguno superaba las diez consultas en la cuenta superficial, y cuatro sí las superan al seguir los includes, así que su SPF está hoy en permerror. Una cuenta hecha sin DNS no encontró ninguno de los cuatro.

Uno de esos cuatro dice v=spf1 a mx include:iiko.ru include:amazonses.com -all. Cuatro términos. Es el cuarto botón de ejemplo de esta página, y la herramienta lo da como cuatro de diez sin nada estructuralmente mal, porque eso es toda la información disponible sin preguntar al DNS. En realidad cuesta quince y no llega a evaluarse.

Por eso el número de arriba se presenta como un suelo y nunca como un veredicto. En todo el muestreo, 86 de los 198 registros escondían consultas extra detrás de sus includes: una mediana de dos más, y hasta quince más en el peor caso. Cualquier herramienta que te enseñe una cuenta superficial sin decir esto te está diciendo que un registro con nueve va sobrado cuando puede ir por veintitrés.

Qué merece la pena comprobar aquí y qué necesita un resolutor

Bastantes cosas se deciden solo con el texto, y esas comprobaciones son la razón de abrir esta página. Si el registro empieza por v=spf1, porque sin eso sencillamente no es SPF y se ignora. Si termina en un all, y con qué cualificador: +all autoriza a todo internet a enviar como tu dominio y casi nunca es lo que se pretende. Si hay algo después del all, donde nunca se alcanzará, porque la evaluación para en la primera coincidencia y all siempre coincide.

También si aparece un redirect junto a un all, lo que deja muerto el redirect: solo se consulta cuando no ha coincidido nada. Si aparece ptr, que la especificación desaconseja. Y si el registro ya supera las diez consultas antes de seguir ningún include, cosa que pasa y que cuando pasa es inequívoca.

Lo que de verdad necesita un resolutor: el total real de consultas, si cada include resuelve efectivamente a un registro, y el límite de consultas vacías, porque la especificación también dice que las implementaciones deberían limitarlas a dos, y eso no se cuenta sin hacer las consultas. Para eso usa un comprobador que resuelva, y trata el número de aquí como el suelo que es.

Una cosa más que no hace: no dice nada sobre si las direcciones listadas son las correctas. SPF es una lista de quién puede enviar; ninguna herramienta puede decirte que esa lista coincida con tus remitentes reales.

¿Por qué es gratis?

Es análisis de cadenas y una cuenta, ejecutándose en tu navegador. No hay resolutor que pagar ni cuenta que crear, y la ausencia de ese resolutor se declara arriba con claridad en vez de esconderse.

Nada de lo que pegas se sube, se guarda ni se registra. Un registro SPF es DNS público, así que no es secreto; simplemente no es asunto de nadie más qué dominio estás mirando.