Todas las guías · Actualizado: 2026-10-18

Dos registros SPF o más de 10 consultas: el SPF que parece bien y no funciona

Comprobamos 1500 webs de pequeños negocios. En 1 de cada 17, el SPF estaba roto de una de dos maneras: dos registros SPF en el mismo dominio, o un registro que obliga a más de 10 consultas DNS. Muchos comprobadores dan estos casos como «SPF presente», porque el registro existe. Para los servidores de correo es un error, y el SPF deja de contar.

Casi siempre pasa igual: alguien añade un servicio nuevo (newsletters, facturación, un CRM) y sigue sus instrucciones, que dicen «añade este registro SPF» sin avisar de que ya tienes uno.

Por qué deja de funcionar

Dos registros SPF: las reglas del SPF solo permiten un registro que empiece por v=spf1 en cada dominio. Con dos, el resultado es un error, y ninguno de ellos cuenta.
Más de 10 consultas: cada include:, a, mx, ptr, exists y redirect= obliga a una consulta DNS, y las que trae cada include: también cuentan. Por encima de 10, el resultado es un error.

Con el SPF en error, tu correo se queda solo con el DKIM para demostrar que es tuyo. Si el DKIM tampoco está activado, el DMARC falla, y tus correos auténticos pueden ir a spam, o ser rechazados si el DMARC está en quarantine o reject.

Paso 1: ver lo que tienes

Haz la comprobación de arriba. Si aparece «Tu dominio tiene dos registros SPF, y así ninguno cuenta» o «Tu registro SPF es demasiado largo para comprobarlo», «Ver la prueba» muestra los registros tal como están en el DNS.

En tu panel de DNS, busca entre los registros TXT del dominio principal (nombre vacío o @) los que empiezan por v=spf1.

Paso 2: juntar dos registros en uno

Por ejemplo, tienes estos dos, uno del correo y otro de las newsletters:

v=spf1 include:_spf.google.com ~all
v=spf1 include:servers.mcsv.net ~all

Juntos quedan en un solo registro:

Tipo: TXT
Nombre (host): @
Valor: v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

Edita uno de los registros y pon en él todos los include: de los dos (y los ip4: o ip6:, si los hay), una vez cada uno.
Termina con un solo all: ~all si no estás seguro de que están todos los servicios que envían por ti, -all si lo estás.
Borra el otro registro.

Nunca uses +all: autoriza a cualquier servidor del mundo a enviar correo en tu nombre.

Paso 3: bajar el número de consultas

Si el problema es tener más de 10 consultas, juntar no basta: hay que quitar. En este orden:

Quita los servicios que ya no usas. Es la causa más común: el proveedor de newsletters que cambiaste hace dos años sigue en el SPF.
Confirma en la ayuda de cada servicio si de verdad necesita estar en tu SPF. Muchos servicios de envío usan una dirección de rebote suya (o un subdominio tuyo), y entonces tu SPF ni se consulta para esos correos: lo que cuenta es su firma DKIM con tu dominio.
Quita ptr siempre: las propias reglas del SPF lo desaconsejan. Quita a y mx solo si estás seguro de que ningún correo sale de esos servidores.
Envía las newsletters desde un subdominio (por ejemplo news.miempresa.es), con su propio SPF. Cada subdominio tiene su propio límite de 10.

Evita cambiar los include: por listas de direcciones IP copiadas a mano: los servicios cambian de IP sin avisar, y el SPF deja de funcionar sin que nadie se dé cuenta.

Paso 4: comprobar

Después de guardar, espera a que el DNS se actualice (de minutos a algunas horas) y vuelve a comprobar. Excubitor cuenta las consultas por ti, incluidas las que trae cada include:.

Si te quedas con 9 o 10 consultas, aparece «Tu registro SPF está casi en el límite», como «puede esperar»: funciona, pero el próximo servicio que añadas lo rompe. Ordénalo antes de añadir otro.

Errores que vemos a menudo

Seguir al pie de la letra las instrucciones de un servicio nuevo y crear un segundo registro SPF, en vez de añadir el include: al que ya existe.
Dos all en el mismo registro, o un all en medio: todo lo que viene después se ignora.
El registro SPF puesto por error en un subdominio (por ejemplo www) en vez del dominio principal.
Un registro antiguo de tipo «SPF» junto al TXT. Ese tipo ya no se usa: lo que cuenta es el TXT.

¿Y después del SPF?

Confirma que el DKIM está activado: sin él, un SPF en error deja tu correo sin ninguna prueba de que es tuyo.

DKIM en Google Workspace, paso a paso

DKIM en Microsoft 365, paso a paso

Para no tener que volver a comprobarlo

El SPF se rompe el día en que alguien añade un servicio nuevo, y nadie se da cuenta hasta que los correos empiezan a fallar. Excubitor puede vigilar el dominio cada semana y escribirte solo cuando algo cambia. Gratis para 1 dominio: haz la comprobación y pulsa «Avísame».