Generador y comprobador de registros SPF
Comprueba tu registro SPF include por include, con el mismo límite de 10 consultas que aplican los servidores receptores. Después crea o fusiona un único registro con los includes oficiales de tus remitentes. Gratis, sin registrarte y sin guardar nada.
Tu dominio
Prueba: salesforce.com, paypal.com
Crea o fusiona tu registro SPF
Marca quién envía email en tu nombre. Cada include sale de la documentación del propio remitente; los remitentes que no necesitan ninguno lo indican. El recuento de consultas se actualiza al momento.
Sepáralos con comas o espacios; también admite IPv6.
Cualquier otro include, exists o redirect. Un dominio sin prefijo se convierte en un include.
Ambos funcionan con DMARC. Microsoft recomienda -all; el ejemplo de Google usa ~all.
Fusionar varios registros SPF en uno
Cada mecanismo aparece una sola vez; las terminaciones se reducen a una.
¿Qué es SPF?
SPF (Sender Policy Framework) es un registro TXT de tu dominio que enumera los servidores autorizados a enviar email en su nombre. Los receptores comparan el servidor de envío con el dominio del return-path (el remitente del sobre). De la dirección From que ve la gente se ocupa DMARC.
Por eso DMARC necesita que SPF o DKIM se validen con un dominio alineado con el From. Con Account Engagement (Pardot) y la mayoría de las herramientas de email, el que cumple es DKIM, porque envían con su propio return-path.
- Se publica en
- el propio dominio (@)
- Empieza por
v=spf1- Registros por nombre
- exactamente uno
- Límite de consultas
- 10, y 2 vacías
- Estándar
- RFC 7208 (2014)
El límite de 10 consultas
Los receptores dejan de contar en 10. Si se supera, SPF da un error permanente y el email no pasa SPF, como si no tuvieras registro.
- 10Consultas DNS por comprobación, cada include con todo lo que contiene
- 2Consultas vacías (void lookups)
| Elemento | Cuesta una consulta | Nota |
|---|---|---|
include: | Sí, más todo lo que contiene | La causa habitual de demasiadas consultas |
a, mx | Sí | mx admite como máximo 10 servidores de correo |
ptr | Sí | No debe usarse (RFC 7208, 5.5) |
exists: | Sí | A menudo con macros, como en el include de Salesforce |
redirect= | Sí | Se ignora si el registro tiene un all |
ip4, ip6, all | No | Las direcciones no cuestan nada |
Las consultas vacías (void lookups) tienen un límite de dos.
Soluciona el exceso de consultas
En este orden. La mayoría de los registros baja de 10 con los tres primeros pasos.
- 1
Localiza lo que más consultas gasta
Comprueba tu dominio más arriba: el árbol muestra cada include con sus consultas propias y las totales.
- 2
Quita los remitentes que ya no usas
Las herramientas de newsletter antiguas y los CRM suelen quedarse años en el registro. Google aconseja eliminar los includes de servicios que ya no envían.
- 3
Elimina los includes que nadie necesita
Pardot, Marketing Cloud Next, Mailchimp, Postmark y Klaviyo pasan SPF con su propio return-path. Su include solo añade consultas.
- 4
Da a un remitente su propio subdominio
news.example.com tiene su propio registro SPF, con otras 10 consultas disponibles. Microsoft lo sugiere para los envíos masivos.
- 5
Aplana solo como último recurso
Sustituir los includes por direcciones IP ahorra consultas, pero falla cuando un proveedor cambia de servidores. El comprobador muestra lo que supondría para tu registro.
El include correcto por remitente
Según la documentación de cada proveedor, comprobada el 16 y el 17 de octubre de 2026. Varios no necesitan ningún include.
| Remitente | Qué añadir al SPF | Fuente |
|---|---|---|
| Google Workspace | include:_spf.google.com | Google, oct. 2026 (se abre en una pestaña nueva) |
| Microsoft 365 | include:spf.protection.outlook.com | Microsoft, jul. 2026 (se abre en una pestaña nueva) |
| Salesforce (Sales y Service Cloud) | include:_spf.salesforce.com | Salesforce, oct. 2026 (se abre en una pestaña nueva) |
| Account Engagement (Pardot) | Nada: pasa SPF por sí solo | Salesforce, abr. 2026 (se abre en una pestaña nueva) |
| Marketing Cloud Next | Nada: el CNAME de rebotes cubre el SPF | Salesforce, sept. 2026 (se abre en una pestaña nueva) |
| HubSpot | include:<account>.spf0X.hubspotemail.net, por cuenta | HubSpot, sept. 2026 (se abre en una pestaña nueva) |
| SendGrid | include:sendgrid.net, solo con la seguridad automatizada (automated security) desactivada | Twilio, ago. 2026 (se abre en una pestaña nueva) |
| Mailgun, Mailjet | include:mailgun.org, include:spf.mailjet.com | Mailgun (se abre en una pestaña nueva), Mailjet, jul. 2026 (se abre en una pestaña nueva) |
| Zoho Mail | include:zohomail.com | Zoho, oct. 2026 (se abre en una pestaña nueva) |
| Zendesk, Freshdesk | include:mail.zendesk.com (smtp. y support.zendesk.com están obsoletos), include:email.freshdesk.com | Zendesk, oct. 2026 (se abre en una pestaña nueva), Freshdesk (se abre en una pestaña nueva) |
| Mailchimp, Postmark, Klaviyo, Brevo | Nada: lo cubre su propio return-path o DKIM | Mailchimp (se abre en una pestaña nueva), Postmark (se abre en una pestaña nueva), Klaviyo (se abre en una pestaña nueva), Brevo (se abre en una pestaña nueva) |
| Amazon SES | Nada en el dominio; con un MAIL FROM personalizado, include:amazonses.com en ese subdominio | AWS (se abre en una pestaña nueva) |
Aplanamiento de SPF, sin rodeos
Arregla el recuento, pero crea un riesgo nuevo.
- Qué hace
Direcciones en lugar de includes
El aplanamiento sustituye los includes por las direcciones IP que hay detrás, y las direcciones no cuestan consultas.
- El riesgo
Los proveedores cambian de servidores
Un registro aplanado es una foto fija. Cuando un remitente añade un servidor, sus emails no pasan SPF hasta que actualices el registro. Microsoft desaconseja aplanar Microsoft 365 y recomienda revisar las entradas aplanadas al menos una vez por trimestre.
- Nuestro consejo
Primero quita lo que sobra y separa remitentes
La mayoría de los registros bajan de 10 sin aplanar. dmarcian retiró su propia función de aplanamiento y la considera una solución provisional. Los registros con macros, como el de Salesforce, no se pueden aplanar.
¿~all, -all u otra cosa?
La terminación indica qué ocurre con los servidores que el registro no incluye. Si usas DMARC, es DMARC quien decide el destino del email.
-all. Fallo (fail): los demás servidores no están autorizados. Microsoft lo recomienda.~all. Fallo leve (soft fail): probablemente no autorizados. El registro de ejemplo de Google termina así.?all. Neutral: no dice nada sobre los demás servidores. Evítalo.+all. Aprobado (pass): cualquier servidor de internet puede enviar en tu nombre. No lo uses nunca.
Para Pardot y Marketing Cloud Next
Lo que dicen las páginas de ayuda de Salesforce sobre SPF, comprobado el 17 de octubre de 2026.
Account Engagement (Pardot)
El email de Pardot pasa SPF por sí solo. Salesforce dice que no hace falta configurar SPF, y aspmx.pardot.com no aparece en la ayuda actual. El return-path es un dominio de Salesforce, así que SPF no está alineado con tu dirección From; DMARC pasa gracias a DKIM (selector 200608).
Marketing Cloud Next
El CNAME de rebotes del dominio autenticado ya cubre SPF; Salesforce lo gestiona y dice que no hace falta ningún registro SPF adicional. El email enviado desde Sales o Service Cloud es distinto: necesita include:_spf.salesforce.com.
Preguntas frecuentes sobre el registro SPF
Respuestas breves a lo que más se pregunta sobre SPF.
¿Puedo tener dos registros SPF?
No. Si un nombre tiene más de un registro que empieza por v=spf1, SPF devuelve un error permanente para cada mensaje. Fusiónalos en uno solo.
¿Cómo combino dos registros SPF?
Pega los dos en “Fusionar varios registros SPF” del generador. Cada mecanismo se conserva una sola vez y el registro recibe una única terminación. Después revisa el recuento: dos registros con 6 consultas cada uno suman 12.
¿Cómo arreglo “SPF permerror: too many DNS lookups”?
Quita los includes de servicios que ya no usas, elimina los includes de remitentes que no los necesitan (Pardot, Marketing Cloud Next, Mailchimp) y lleva a un remitente a su propio subdominio. Aplana solo como último recurso.
¿Mi registro SPF debe terminar en ~all o en -all?
Los dos funcionan con DMARC. Microsoft recomienda -all; el ejemplo de Google usa ~all. No uses nunca +all.
¿Tengo que añadir Pardot a mi registro SPF?
No. Salesforce dice que el email de Account Engagement pasa SPF por sí solo. Lo que importa para DMARC es la clave DKIM (selector 200608).
¿Los subdominios usan el registro SPF del dominio?
No. SPF se comprueba para el dominio exacto del return-path, así que un subdominio que envía necesita su propio registro.
¿Qué es una consulta sin respuesta (void lookup)?
Una consulta que no encuentra nada, como un include hacia un nombre que ya no existe. Los servidores receptores deberían dar SPF por fallido cuando hay más de dos.
¿Se guarda el dominio que compruebo?
No. Tu navegador envía los nombres a nuestro servidor, que pregunta a un resolver DNS público. No se guarda nada, no se registra ningún dominio y el resolver nunca ve tu dirección IP.
Más herramientas gratuitas
Hacemos que tu marketing en Salesforce trabaje para ti
Habla con un consultor certificado, no con un vendedor, y sal de la primera llamada sabiendo cuál es tu siguiente paso.