Última actualización: julio de 2026

En resumen: Al terminar esta guía tu dominio publicará un registro SPF correcto. Los servidores de correo receptores podrán reconocer qué servidores pueden enviar en tu nombre — y descartar remitentes falsificados.

Requisitos previos

¿Qué es SPF?

SPF (Sender Policy Framework) es un registro TXT en el DNS de tu dominio. Enumera qué servidores de correo pueden enviar emails con tu dominio como remitente. Los servidores receptores consultan el registro en cada mensaje entrante y comprueban si el servidor que lo entrega está en la lista. Sin SPF, cualquier servidor puede enviar correo en nombre de tu dominio — y tu correo legítimo acaba antes en spam, porque grandes receptores como Gmail hoy sencillamente esperan SPF.

Para ponerlo en contexto: SPF por sí solo no es una protección completa. Solo junto con DKIM y DMARC se convierte en una base sólida. Pero SPF es el punto de entrada más sencillo.

El punto de partida en Strato

Strato gestiona SPF de forma distinta a muchos proveedores: en la configuración de DNS hay reglas SPF predefinidas que activas con un clic — la más importante se llama Standard STRATO Mailserver. Como alternativa puedes crear una regla TXT personalizada.

Una palabra sobre la documentación de Strato, porque aquí es confusa: la FAQ de DNS dice que en la mayoría de los casos basta con el ajuste “Keine STRATO SPF-Regel” (ninguna regla SPF de STRATO) — mientras que la propia FAQ de Strato sobre problemas de entrega recomienda crear exactamente un registro SPF así (p. ej. “Standard STRATO Mailserver”) cuando el correo acaba en spam. Nuestra recomendación es clara: publica el registro. Un registro SPF ausente es hoy un riesgo de entrega, no un estado normal.

Guía paso a paso

1. Comprueba si SPF ya está activo

Lo más rápido, desde el terminal:

dig TXT example.com +short | grep spf1

Si vuelve un registro con v=spf1, tu dominio ya publica SPF. Como alternativa, introduce tu dominio en el escáner MXAudit gratuito — comprueba a la vez la sintaxis del registro y el límite de lookups.

2. Abre la configuración de DNS

Inicia sesión en el acceso de clientes de Strato y elige Dominios → Domainverwaltung (gestión de dominios). En la vista general de dominios, haz clic en el icono del engranaje junto a tu dominio y abre la pestaña DNS.

3. Activa la regla SPF predefinida

En la configuración de SPF, elige la regla predefinida Standard STRATO Mailserver. Esto autoriza los servidores de correo de Strato — la elección correcta mientras envíes exclusivamente a través de Strato (webmail o buzones IMAP/SMTP).

Las opciones Fail y Softfail controlan con qué severidad se tratan los servidores no autorizados; Strato recomienda Fail cuando se usa un servidor de correo alternativo con un registro MX propio.

4. ¿Servidores de nombres propios o zona DNS externa?

Si has definido tus propios servidores de nombres pero sigues usando el correo de hosting compartido de Strato (el MX apunta a Strato), tienes que mantener tú mismo el registro SPF. Strato documenta exactamente este valor:

v=spf1 redirect=_spf.strato.com

El redirect= significa que tu dominio adopta por completo la política SPF de _spf.strato.com — incluido su estricto -all (hardfail) al final. La referencia cuesta exactamente un lookup de DNS; detrás de ella hay una lista plana de los rangos IPv4 e IPv6 de Strato.

5. Añade remitentes adicionales (si hace falta)

Si además envías a través de otros servicios — herramienta de newsletter, CRM, sistema de tienda — el constructo redirect= ya no encaja: un redirect delega toda la política y no se puede combinar con otras fuentes. En ese caso cambia a la forma include y añade tus servicios:

v=spf1 include:_spf.strato.com include:spf.newsletter-dienst.de ~all

Importante: Solo puede haber un registro SPF por dominio. Dos registros TXT con v=spf1 provocan un permerror — los servidores receptores entonces ignoran SPF por completo. Eso es peor que no tener SPF.

6. Espera hasta que el cambio esté activo

Los cambios de DNS tardan: según el TTL y el caché puede tardar unas horas hasta que todos los servidores del mundo vean el nuevo registro.

Los componentes en detalle

ComponenteSignificado
v=spf1identificador de versión, siempre al principio
redirect=_spf.strato.comadopta toda la política SPF de Strato (rangos IPv4 e IPv6, termina con -all)
include:_spf.strato.compermite los servidores de Strato, pero se puede combinar con otras fuentes y tu propio ~all/-all

Verifica el resultado

Comprueba tu configuración con el escáner MXAudit gratuito — te muestra de inmediato si tu registro SPF es sintácticamente correcto y cuántos lookups de DNS consume (el límite es 10).

O directamente en el terminal:

dig TXT example.com +short | grep spf1

La salida debe contener exactamente un registro con v=spf1.

Errores habituales

Dos registros SPF. Dos entradas TXT con v=spf1 provocan un permerror. Todas las fuentes van en un único registro.

redirect= combinado con otros mecanismos. Un redirect= solo se evalúa si ningún mecanismo coincidió antes de él. Si hay un ~all o -all en el mismo registro, ese surte efecto siempre primero — el redirect es entonces peso muerto. O bien redirect= solo, o bien include: con tu propio cierre all.

Nombre de host completo en el campo de prefijo. Strato añade automáticamente el nombre de dominio al valor del campo “Präfix” (prefijo). Si introduces ahí example.com, obtienes example.com.example.com — el registro acaba en el lugar equivocado. Introduce solo la parte antes del dominio; para el registro SPF del dominio principal, deja el campo vacío.

+all al final. Un +all permite enviar a cualquier servidor y deja todo el registro sin efecto. Todavía aparece en algunos posts antiguos de foros — no lo copies.

Los reenvíos fallan. Si un destinatario reenvía tu correo automáticamente, SPF falla a menudo en el destinatario final — el servidor que reenvía no está en tu registro. Es una debilidad de diseño de SPF, no un error de configuración; DKIM y DMARC cubren este caso.

Más información