Comprobador SPF
Un registro SPF indica qué servidores pueden enviar correo electrónico como su dominio. La mayoría de los que fallan no lo hacen en voz alta: fallan al dejar pasar a todos en silencio. Verifique un dominio que usted controle y obtenga el registro y lo que realmente le indica al servidor receptor que haga.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Qué es un registro SPF, en un párrafo
Cuando un servidor de correo recibe un mensaje que dice ser de su dominio, puede preguntarle a su dominio qué servidores pueden enviar en su nombre. La respuesta es un registro TXT ensu DNS comenzando con v=spf1. Si el servidor emisor está en esa lista, el mensaje pasa. Si no es así, lo que suceda a continuación dependerá enteramente de cómo termine su historial, y ahí es donde está la mayor parte del problema.
Seis razones para comprobar tu propio registro SPF
01
El límite de diez búsquedas, que bate récords silenciosamente
Este es el fracaso que nadie espera y casi todo el mundo acaba por afrontarlo.
Cuando un servidor receptor evalúa su registro SPF, deberesuelva cada include:, a, mx, ptr y redirect que encuentre, y cada uno de ellos puede contener más de lo mismo. El estándar limita esto a diez búsquedas de DNS. Excédalo y la evaluación no caerá en un aprobado o un reprobado; devuelve un error permanente y la mayoría de los receptores lo tratan como si no tuvieran ningún SPF. Los récords lo superan creciendo. Una plataforma de marketing aquí, un servicio de asistencia técnica allá, un proveedor de nóminas, un nuevo CRM: cada uno agrega un include: y cada include: puede ocultar varias búsquedas en su interior. Nada te avisa. El registro todavía se ve bien en tu panel DNS y la entrega comienza a verse afectada por razones por las que nadie se conecta a un cambio realizado cuatro meses antes.
02
Un fallo suave que no autoriza a nadie y no detiene nada
Cada registro SPF termina con unall mecanismo, y el personaje frente a él decide todo:
| Finalizando | Qué le dice al receptor |
|---|---|
-all | Fallo grave. Este servidor no está autorizado. Rechazarlo |
~all | Fallo suave. Este servidor no está autorizado, pero acéptelo de todos modos y márquelo |
?all | Neutral. Sin opinión |
+all | Todos están autorizados. Nunca corregir |
La mayoría de los dominios terminan en ~all, que es el lugar correcto para comenzar y el lugar incorrecto para quedarse. Significa que su registro describe quién puede enviar sin insistir en ello, y eso es una declaración, no unadefensa.
03
El include: que agregaste es la lista de otra persona y cambia
include: no copia los servidores de un proveedor en su registro: apunta a los de ellos e importa todo lo que esté allí en el momento de la verificación.
Esto es conveniente y significa que parte de su autenticación de correo la mantiene una empresa que usted no controla. Cuando agregan infraestructura, su registro cubre más silenciosamente. Cuando se reestructuran, sus búsquedas cuentanpuede saltar. Vale la pena saber cuáles de tus entradas include: son grandes, porque esas son las que te llevarán a superar el límite.
04
El dominio que no envía ningún correo
Un dominio que usted posee y desde el cual nunca realiza envíos es el más fácil de todos de suplantar, porque nadie está mirando las respuestas y nadie se da cuenta de las quejas.
Dicho dominio aún debería tener un registro SPF, uno que no autorice nada:
v=spf1 -allEse es un registro completo y correcto. Dice: ningún servidor puede enviar como este dominio. Los dominios estacionados, las marcas antiguas y los dominios comprados de forma defensiva merecen uno.
05
Varios registros donde debería haber uno
Un dominio puede tener exactamente un registro SPF. Dos registros TXT que comienzan con v=spf1 no representan el doble de protección: es un error permanente y el resultado es el mismo que no tener ninguno.
Ocurre cuando el asistente de configuración de un segundo proveedoragrega su propio registro en lugar de editar el suyo. La solución es fusionarlos en uno solo; el problema es darse cuenta.
06
Evidencia de que el registro era correcto en una fecha determinada
"Tenemos SPF configurado" es una afirmación. Un informe fechado que muestre el registro y su póliza es evidencia, y es lo que realmente quiere una aseguradora o la revisión de seguridad de un cliente. La creación de ese registro es un tema en sí mismo.
Conoce el día de tu récordcambios
El DNS lo editan más personas que cualquier otra capa, y un registro SPF lo editan aquellas que tienen menos probabilidades de informar al equipo de seguridad: marketing agregando una plataforma de envío, TI moviendo un proveedor de correo, un contratista conectando un formulario.
Cada edición es pequeña y ninguna se revisa. Los análisis programados convierten eso en una diferencia que le informan: este registro obtuvo una entrada, esta política pasó de -all a ~all. Las alertas llegan a la aplicación, por correo electrónico,o mediante Slack, Teams, Jira o un webhook.
Paso 01 · Nombra el dominio
Un dominio que usted controla, agregado a su cuenta AYAsec. La propiedad se verifica antes de enviar cualquier cosa: AYAsec no programará análisis en infraestructura sobre la cual no haya demostrado control y [demostrará que requiere un registro DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). La verificación rápida anterior omite esto: sin cuenta, sin verificación, solo limitación de velocidad de IP y una regla de que el objetivo debe ser una dirección pública.
Paso 02 · Dejala ejecución del cheque
Los registros SPF son públicos, por lo que se leen en lugar de sondearse. Busca el registro como lo haría un servidor de correo receptor.
Paso 03 · Leer el resultado
Los hallazgos llegan ordenados por gravedad y con calificaciones de A+ a F. Un registro que autoriza a todos y una falla leve no se encuentran en la misma lista indiferenciada.
De qué es parte esto
SPF es uno de varios registros relacionados con el correo que AYAsec verifica como parte de su escaneo DNS, junto con DKIM,DMARC, MTA-STS, TLS-RPT y DNSSEC. Es un escaneo y esta página es aproximadamente una parte de lo que analiza.
DNS lleva el 20% de la calificación compuesta. Los otros son HTTP al 30 %, TLS y puertos al 20 % cada uno, y credibilidad del dominio al 10 %. Todos ellos juntos son lo que gestión de la superficie de ataquesignifica en la práctica.
Preguntas antes de comprobar
¿Qué puedo comprobar?
Infraestructura de su propiedad o contratada para realizar pruebas. La verificación rápida anterior no verifica eso por usted: solo limita la velocidad por IP y se niega a apuntar a nada que no sea una dirección pública. En su lugar, agregue el dominio a una cuenta de AYAsec y el control se verificará antes de que se ejecute cualquier cosa programada: un límite tanto legal como práctico, ya que un escaneo no verificado tampoco le sirve como evidencia.
Los registros SPF son públicos. ¿Por qué es necesario¿verificación?
El registro es público y el cheque es de sólo lectura, por lo que el cheque en sí es inofensivo. La verificación se trata de lo que sucede a continuación: un dominio en su cuenta AYAsec es monitoreado, calificado y mantenido en su historial, y nada de eso debería ser posible para un dominio que no es suyo.
¿El SPF es suficiente por sí solo?
No. SPF autoriza servidores; no sobrevive al reenvío y no dice nada sobre si el mensaje fue modificado. Eso es lo queDKIM es para, y DMARC es lo que une a los dos y decide qué sucede cuando fallan.
¿Cómo puedo llegar por debajo del límite de diez búsquedas?
Por lo general, eliminando proveedores que ya no utilizas, reemplazando un include: amplio con los mecanismos específicos que necesitas o aplanando el registro, resolviendo la cadena tú mismo y listando las direcciones directamente. El aplanamiento funciona y tiene un coste: el registro deja de actualizarse cuandoEl proveedor cambia sus servidores, por lo que debe reaplanarse según un cronograma.
¿Un registro puede cubrir subdominios?
No automáticamente. El SPF se compara con el dominio del remitente del sobre, por lo que un subdominio que envía correo necesita su propio registro.
¿Conservas los resultados?
No es la comprobación rápida anterior: permanece en la memoria durante unos quince minutos para que puedas leerla una vez y luego desaparece. Se trata de una elección deliberada de privacidad, no de una limitación: nadie más que tú ve ese análisis y puedes descargar el resultado completo antes de que caduque. En su lugar, agregue el dominio a una cuenta de AYAsec y cada escaneo se conserva: una serie que le indica qué edición lo rompió. La retención depende de su plan.
Mantenga la historia, no solo laresultado
Ejecute la verificación completa de DNS en sus propios dominios, según un cronograma, con cada cambio marcado para quien necesite verlo.
Las otras damas
Comprobador DMARC: ¿qué sucede con el correo que no pasa la verificación?
comprobador de seguridad DNS
DNSSEC, servidores de nombres y los propios registros
Los cuatro escáneres
puertos, TLS, HTTP y DNS
Datos estructurados para incrustar
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec SPF Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/spf-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}No añada el marcado FAQPage o HowTo - Google retiró ambos tipos de resultados.