Última actualización: julio de 2026
En resumen: Al terminar esta guía cada uno de tus dominios de Mailcow publicará un registro SPF correcto — y los requisitos de apoyo (PTR, IPv6) también estarán correctos.
Requisitos previos
- Un servidor Mailcow en marcha con un
MAILCOW_HOSTNAMEfijo (p. ej.mail.example.com) - Acceso a la gestión de DNS de tu(s) dominio(s)
- Acceso a la gestión de PTR de tu proveedor de servidor
¿Qué es SPF?
SPF (Sender Policy Framework) es un registro TXT en el DNS de tu dominio. Enumera qué servidores de correo pueden enviar emails con tu dominio como remitente. Al autoalojar eres responsable por ambos lados: tu Mailcow comprueba el SPF entrante de otros dominios — y tus propios dominios necesitan registros limpios para que Gmail, Outlook y compañía acepten tu correo.
Para ponerlo en contexto: SPF por sí solo no es una protección completa. Solo junto con DKIM y DMARC se convierte en una base sólida — la documentación de Mailcow recomienda los tres.
El punto de partida en Mailcow
Mailcow por sí mismo no define registros DNS — no puede, ya que tu zona DNS está en tu proveedor de dominio/DNS. Pero la documentación de Mailcow define con precisión lo que espera. El registro SPF recomendado:
v=spf1 mx a -allEsto significa que solo este servidor (el MX de tu dominio) puede enviar — todo lo demás se rechaza de forma tajante. Para un servidor autoalojado eso es exactamente lo correcto: conoces tus vías de envío.
Importante: cada dominio que crees en Mailcow necesita su propio conjunto de registros — MX más SPF, no solo el dominio principal.
Guía paso a paso
1. Comprueba los registros PTR (el requisito infravalorado)
Antes de que SPF siquiera ayude: el registro PTR de la IP de tu servidor debe coincidir con el MAILCOW_HOSTNAME — la documentación de Mailcow lo pone en lo más alto de los requisitos de DNS. El PTR se define en el proveedor del que viene la IP (Hetzner, Netcup, …). Y: por separado para IPv4 e IPv6, si tu servidor envía por ambos.
dig -x 203.0.113.25 +short # debe devolver mail.example.com.2. Comprueba si SPF ya está activo
dig TXT example.com +short | grep spf1Como alternativa, introduce tu dominio en el escáner MXAudit gratuito — comprueba SPF y la correspondencia PTR de las IP de tu MX de una sola vez.
3. Define el registro SPF en tu proveedor de DNS
Para cada dominio de Mailcow, crea un registro TXT en el dominio principal (@):
v=spf1 mx a -allmx autoriza los servidores detrás de tus registros MX (es decir, tu Mailcow), a adicionalmente la IP detrás del propio registro A/AAAA del dominio. Dónde introduces exactamente el registro depende del proveedor de DNS — consulta nuestras guías para IONOS, Strato, All-Inkl, Netcup y Hetzner DNS.
4. Añade remitentes adicionales (si hace falta)
Si un servicio de newsletter también envía por el dominio junto a Mailcow, su include va en el mismo registro:
v=spf1 mx a include:spf.newsletter-dienst.de -allPor dominio rige la regla: solo un registro SPF. Dos entradas TXT con v=spf1 provocan un permerror.
5. Configura DKIM al mismo tiempo
La documentación de Mailcow recomienda encarecidamente generar una clave DKIM en la interfaz de Mailcow y definir el registro TXT correspondiente en el DNS. SPF autentica el servidor, DKIM firma el mensaje — junto con DMARC se convierte en una configuración redonda.
6. Espera hasta que el cambio esté activo
Los cambios de DNS tardan: según el TTL y el caché puede tardar unas horas hasta que todos los servidores del mundo vean el nuevo registro.
Los componentes en detalle
| Componente | Significado |
|---|---|
v=spf1 | identificador de versión, siempre al principio |
mx | permite los servidores detrás de los registros MX — tu Mailcow |
a | permite adicionalmente la IP detrás del registro A/AAAA del dominio |
-all | hardfail: todo lo demás se rechaza — la elección correcta con vías de envío conocidas |
Verifica el resultado
Comprueba tu configuración con el escáner MXAudit gratuito — muestra de un vistazo la sintaxis SPF, el consumo de lookups y la correspondencia PTR de las IP de tu MX.
O directamente en el terminal:
dig TXT example.com +short | grep spf1La salida debe contener exactamente un registro con v=spf1.
Errores habituales
PTR ausente o apuntando a otro sitio. El clásico al autoalojar: SPF es correcto, pero el DNS inverso de la IP del servidor no coincide con el nombre de host — muchos receptores rechazan solo por eso. Corrige el PTR en el proveedor de la IP.
Olvidar IPv6. Si tu servidor envía por IPv6, la dirección IPv6 también necesita un PTR — y los registros AAAA deben coincidir con tu registro. De lo contrario justo esas entregas fallan en receptores modernos que prefieren IPv6.
Prever solo el dominio principal. Cada dominio creado en Mailcow necesita registros MX y SPF. Un segundo dominio olvidado envía si no sin protección.
Dos registros SPF. Dos entradas TXT con v=spf1 provocan un permerror — todas las fuentes van en un único registro.
+all al final. Un +all permite enviar a cualquier servidor y deja todo el registro sin efecto — no lo copies.
Los reenvíos fallan. Si un destinatario reenvía tu correo automáticamente, SPF falla a menudo en el destinatario final — el servidor que reenvía no está en tu registro. Al autoalojar puedes activar SRS en el lado que reenvía; como remitente, DKIM y DMARC cubren el caso.
Más información
- Documentación de Mailcow: Configuración de DNS (consultado el 10 de julio de 2026)
- RFC 7208 — Sender Policy Framework (SPF)