Verificador de Longitud de Registro SPF

El SPF Record Length Checker valida tu registro SPF contra los dos límites críticos definidos en RFC 7208: el límite de 255 caracteres por cadena TXT y el límite de 10 consultas DNS. Pega un registro como v=spf1 include:_spf.google.com include:spf.protection.outlook.com -all y verás instantáneamente el conteo de caracteres, el desglose de consultas y si estás dentro de los umbrales seguros.

Comprendiendo los límites de SPF

Los registros SPF tienen dos límites estrictos que, cuando se exceden, causan que la autenticación de email falle silenciosamente. La parte frustrante es que puedes publicar un registro SPF que luce perfectamente válido, agregar un include más para una nueva plataforma de marketing, y de repente tu email legítimo comienza a fallar la autenticación -- sin ningún mensaje de error obvio en tu bandeja de entrada. Las fallas solo aparecen en los reportes agregados DMARC o cuando los destinatarios se quejan de que tus mensajes están cayendo en spam.

El primer límite es el tope de 10 consultas DNS. Cada vez que la evaluación SPF encuentra un mecanismo que requiere una consulta DNS -- include, a, mx, ptr, exists o redirect -- cuenta contra este límite. El detalle crítico que atrapa a la mayoría de los administradores es que el conteo es acumulativo a través de registros anidados. Cuando escribes include:_spf.google.com, esa es 1 consulta para el include en sí, pero el registro SPF de Google contiene 3 includes más, agregando 3 consultas adicionales. Una línea en tu registro te cuesta 4 consultas de tus 10. Agrega un par de servicios más y estás por encima del límite antes de darte cuenta.

El segundo límite es el límite de 255 caracteres por cadena para registros DNS TXT. Este se alcanza con menos frecuencia porque la mayoría de los proveedores DNS manejan la división de cadenas automáticamente, pero puede causar problemas con ciertos proveedores o al editar archivos de zona manualmente. Una clave DKIM de 2048 bits en la misma zona ya presiona este límite, así que los registros SPF complejos con muchos rangos de IP pueden excederlo fácilmente. Este verificador valida ambas restricciones y te muestra exactamente dónde te encuentras.

Cómo verificar la longitud del registro SPF y el conteo de consultas

1. Pega tu registro SPF completo comenzando con v=spf1
2. El verificador cuenta el total de caracteres e identifica si se necesita formato multi-cadena
3. Cada mecanismo que consulta DNS se cuenta: include, a, mx, ptr, exists, redirect
4. Los mecanismos basados en IP (ip4, ip6) se identifican como no contables
5. Revisa el desglose mostrando qué mecanismos consumen consultas DNS
6. Atiende cualquier advertencia sobre umbrales excedidos o cercanos al límite

Ejemplos de conteo de consultas SPF

Mecanismos que cuentan como consultas DNS

include:  -> 1 consulta (más consultas anidadas del registro incluido)
a         -> 1 consulta
mx        -> 1 consulta
ptr       -> 1 consulta (obsoleto, evitar su uso)
exists:   -> 1 consulta
redirect= -> 1 consulta

Mecanismos que NO cuentan

ip4:203.0.113.0/24  -> 0 consultas
ip6:2001:db8::/32   -> 0 consultas
all                 -> 0 consultas

Cuándo usar el verificador de longitud SPF

• Después de agregar un nuevo servicio de email para verificar que no has excedido el límite de 10 consultas
• Depurar errores de "demasiadas consultas DNS" en reportes de autenticación de email (reportes agregados DMARC)
• Heredar una configuración SPF compleja de un administrador anterior para auditar el estado actual
• Antes de desplegar cambios SPF a producción para prevenir fallas de entrega no intencionales
• Optimizar registros SPF identificando qué includes contribuyen más consultas anidadas
• Durante el despliegue de DMARC para asegurar que SPF esté saludable antes de endurecer tu política DMARC

Cómo funcionan los límites de consultas SPF

La regla de las 10 consultas

RFC 7208 limita la evaluación SPF a 10 mecanismos DNS para prevenir ataques de denegación de servicio mediante consultas DNS recursivas. Cuando se excede el límite, la verificación SPF devuelve un error permanente (permerror), que la mayoría de los servidores receptores interpretan como una falla SPF.

Las consultas anidadas son acumulativas

El límite de 10 consultas incluye todas las consultas anidadas. Considera esta cadena:

Tu registro:     v=spf1 include:_spf.google.com include:spf.example.com -all
                 -> 2 consultas directas

_spf.google.com: v=spf1 include:_netblocks.google.com include:_netblocks2.google.com include:_netblocks3.google.com ~all
                 -> 3 consultas más

Total:           2 + 3 = 5 consultas (antes de resolver spf.example.com)

Cada include en el registro de Google cuenta contra el total de tu dominio. Si spf.example.com agrega 6 consultas más, alcanzarías 11 y dispararías un permerror.

Costos típicos de consultas por servicio

Estos conteos pueden cambiar cuando los proveedores actualizan su infraestructura. Siempre verifica los conteos actuales con este verificador.

El límite de 255 caracteres por cadena

Los registros DNS TXT almacenan datos en cadenas de hasta 255 caracteres cada una. Un solo registro TXT puede contener múltiples cadenas que se concatenan durante la recuperación. Si tu registro SPF excede 255 caracteres, debe dividirse:

"v=spf1 ip4:192.0.2.0/24 ip4:198.51.100.0/24 "
"include:_spf.google.com include:spf.protection.outlook.com -all"

La mayoría de los proveedores DNS manejan esta división automáticamente, pero algunos requieren formato manual.

Cómo reducir el conteo de consultas SPF

Cuando estás en o cerca del límite de 10 consultas, hay varias estrategias para reducir el conteo. El enfoque más efectivo es el aplanamiento SPF, donde reemplazas los mecanismos include con las direcciones ip4 e ip6 a las que resuelven. Por ejemplo, si include:mail.example.com resuelve a una sola IP, puedes reemplazarlo con ip4:203.0.113.5, ahorrando una consulta. La desventaja es que si el proveedor cambia sus direcciones IP, tu registro se vuelve obsoleto y el correo legítimo fallará SPF. Los servicios de aplanamiento automatizado resuelven esto verificando y actualizando tu registro periódicamente.

Otra optimización común es eliminar mecanismos que ya no necesitas. Con el tiempo, las organizaciones acumulan includes para servicios que dejaron de usar -- una antigua plataforma de marketing, un helpdesk descomisionado, un proveedor de email transaccional heredado. Audita tus includes contra los servicios que realmente envían email hoy y elimina los que ya no están activos. También deberías eliminar los mecanismos ptr, que están obsoletos según RFC 7208, son poco confiables y desperdician una consulta.

• Reemplazar include con ip4/ip6: Aplanar dominios incluidos a sus rangos de IP reales (requiere mantenimiento cuando los proveedores cambian IPs)
• Eliminar servicios no usados: Auditar qué servicios aún envían email activamente para tu dominio
• Eliminar mecanismos ptr: Están obsoletos según RFC 7208 y desperdician una consulta
• Usar servicios de aplanamiento SPF: Herramientas automatizadas que resuelven includes a IPs y las mantienen actualizadas
• Eliminar a y mx redundantes: Si esas IPs ya están cubiertas por mecanismos ip4
• Usar un dominio de política SPF dedicado: Mover la lógica SPF compleja a un subdominio usando redirect=

Preguntas frecuentes

¿Qué pasa cuando excedes el límite de 10 consultas DNS?

La verificación SPF devuelve un error permanente (permerror). La mayoría de los servidores de correo receptores tratan esto como una falla SPF. Combinado con una política DMARC estricta, esto puede causar que emails legítimos sean puestos en cuarentena o rechazados completamente. El aspecto peligroso es que no hay un error inmediato que verás -- la falla solo aparece en los reportes DMARC o cuando los destinatarios te dicen que tu correo está cayendo en spam.

¿Los mecanismos ip4 e ip6 cuentan para el límite de consultas?

No. Solo los mecanismos que requieren una consulta DNS cuentan: include, a, mx, ptr, exists y redirect. Los mecanismos de dirección IP literal (ip4, ip6) se evalúan localmente y consumen cero consultas. Por esto aplanar includes a direcciones IP es una optimización efectiva.

¿Cómo sé cuántas consultas usa Google Workspace o Microsoft 365?

El _spf.google.com de Google actualmente resuelve a 3 includes anidados, consumiendo 4 consultas en total (1 para el include en sí más 3 anidadas). El spf.protection.outlook.com de Microsoft típicamente usa 2 consultas en total. Estos conteos pueden cambiar cuando los proveedores actualizan su infraestructura, así que verifica periódicamente con esta herramienta.

¿Puedo tener más de 10 consultas si divido entre subdominios?

Cada registro SPF de dominio obtiene su propio límite de 10 consultas. Si tu dominio principal está al límite, no puedes aumentarlo dividiendo. Sin embargo, si diferentes subdominios envían email independientemente, el SPF de cada subdominio se evalúa por separado contra su propio límite. El mecanismo redirect= puede apuntar a un dominio de política dedicado, pero las consultas del registro redirigido aún cuentan contra el límite de 10 consultas de la evaluación original.

¿Por qué mi registro SPF funciona para algunos destinatarios pero no para otros?

Diferentes servidores receptores pueden manejar el límite de consultas de forma diferente. Algunos servidores dejan de evaluar exactamente a las 10 consultas, mientras que otros pueden permitir 11 o 12 antes de devolver un permerror. Si tu registro está justo en el límite, puede pasar en algunos servidores y fallar en otros, llevando a entrega inconsistente.

Herramientas relacionadas

• SPF Record Builder - Construir registros SPF con sintaxis correcta
• DKIM TXT Record Formatter - Formatear registros DKIM con entrecomillado correcto
• DMARC Record Builder - Construir registros DMARC con todas las etiquetas de política
• DNS Record Set Deduper - Encontrar y eliminar registros DNS duplicados
• Zone File Linter - Verificar archivos de zona por errores de sintaxis y duplicados