Un registro SPF que termina en ~all es un softfail: el correo de servidores no listados igualmente se entrega, solo marcado como sospechoso. Es un valor seguro mientras construyes tu registro, pero el estado final más fuerte es -all (hardfail), que indica a los receptores que rechacen directamente a los remitentes no autorizados.
El último mecanismo de un registro SPF decide qué ocurre con los remitentes no listados. ~all (softfail) = aceptar pero marcar. -all (hardfail) = rechazar. ?all (neutral) y +all (aceptar todo) no ofrecen prácticamente protección y nunca deberían usarse en producción.
Pasar directamente a -all antes de listar a cada remitente legítimo hará rebotar correo real. ~all te permite publicar un registro funcional y observar tus informes agregados de DMARC para confirmar que nada legítimo falla antes de endurecer.
Aplica DMARC junto a SPF: DMARC con p=reject es lo que realmente bloquea la suplantación, y funciona aunque mantengas ~all. Cuando tus informes muestren que todos los remitentes reales superan SPF y se alinean, cambia ~all por -all como defensa en profundidad.
Observe el último mecanismo en su expediente:
$ dig TXT yourdomain.com +shortComprueba tu registro SPF ahora
Abrir el verificador SPF gratuito →No, es un ajuste razonable y común. Simplemente no es el más fuerte. Con DMARC en p=reject, ~all sigue bien protegido; -all añade una segunda capa.
No del todo. SPF se rompe al reenviar y solo comprueba el remitente del sobre. DMARC ata la autenticación a la dirección De: visible y aplica una política.
