Correo corporativo
SPF con múltiples includes: cómo no pasarte del límite de lookups
El límite de 10 DNS lookups en SPF es una causa silenciosa de fallos. Cómo aplanar includes y mantener envíos válidos.
10 min de lectura · Actualizado 2026-07-22
El límite de 10 lookups explicado
RFC 7208 limita a 10 el número de consultas DNS adicionales durante evaluación SPF. Cuentan: cada include:, redirect=, a, mx, exists: y el mecanismo ptr (evítalo). Un registro v=spf1 include:a.com include:b.com ya consume 2 lookups antes de expandir lo que traen a.com y b.com.
Cuando se supera el límite, SPF retorna PermError. Muchos receptores tratan PermError como fail suave o duro según configuración. Gmail puede marcar spf=permerror en Authentication-Results; DMARC no alcanzará pass por SPF.
El problema es silencioso: el panel del proveedor muestra «SPF configurado ✓» porque existe un TXT, pero no valida profundidad de includes. Solo herramientas como /toolbox/spf-lookup o prueba de envío revelan PermError.
Empresas con Google Workspace + Salesforce + HubSpot + Mailchimp + Zendesk + servidor propio + ERP SaaS superan el límite con frecuencia. Cada SaaS añade include:_spf.vendor.com que a su vez incluye otros.
Diagnosticar tu cadena SPF
Empieza listando el TXT SPF del apex. Expande manualmente cada include con /toolbox/spf-lookup o dig TXT _spf.google.com, _spf.salesforce.com, etc. Suma lookups en profundidad, no solo los visibles en tu registro.
Ejemplo: v=spf1 include:_spf.google.com include:sendgrid.net include:spf.protection.outlook.com ~all. Google expande a varios includes internos; SendGrid también. Un solo registro aparentemente corto puede superar 10.
Mail Tester muestra resultado SPF en envío real — más fiable que solo lookup estático si usas relay complejo. Compara envío desde oficina vs ERP vs marketing; plataformas distintas pueden usar IPs no cubiertas aunque SPF «pase» desde otra.
Documenta cada include con owner interno (marketing, TI, ventas) para saber a quién quitar autorización cuando un SaaS se decomisiona.
Estrategias para aplanar y consolidar
Sustituye includes por ip4:/ip6: cuando el proveedor publica rangos estables y acotados. Menos elegante pero cero lookups extra. Útil para un relay fijo del ERP on-premise.
Subdominios dedicados: envía marketing desde mailings.tudominio.com con SPF propio en ese subdominio y DKIM d=mailings.tudominio.com; el apex SPF queda más corto para oficina y transaccional. Requiere alinear From o usar subdominio visible.
SPF flattening services (terceros) publican un registro intermedio que consolida IPs y renueva automáticamente. Evalúa dependencia externa y costo vs gestión manual trimestral.
Elimina includes de servicios ya cancelados — causa común de PermError residual. Revisa trimestralmente con inventario SaaS.
redirect= y registro único
redirect=subdominio.tudominio.com delega toda evaluación SPF a otro registro (cuenta como lookup). Útil si gestionas SPF solo en un subdominio _spf.tudominio.com y el apex hace v=spf1 redirect:_spf.tudominio.com — un solo punto de mantenimiento.
No combines redirect con otros mecanismos en el mismo registro (inválido). No uses redirect si necesitas lógica distinta en apex vs subdominio.
Algunos proveedores enterprise ofrecen «SPF merge» en su panel DNS (Cloudflare Email Security, ciertos registradores). Verifica que no dupliquen includes al sincronizar integraciones.
Tras consolidar, valida con /toolbox/spf-lookup contador de lookups ≤ 10 y envío Mail Tester desde cada canal.
Mantenimiento y errores a evitar
Nunca publiques dos TXT SPF en el apex. Si migras, edita el existente, no añadas otro. Dos registros v=spf1 invalidan SPF (PermError).
Cambiar ~all a -all sin resolver lookups primero endurece rechazo sin arreglar la causa raíz. Primero PermError-free, luego endurecer all y DMARC.
includes anidados profundos (A include B include C include D…) explotan rápido. Negocia con proveedores listas ip4 consolidadas o subdominios separados.
Programa revisión SPF en cada alta/baja de herramienta de email. /toolbox/email-deliverability ayuda a detectar TXT duplicados, MX coherentes y DMARC alineado en la misma auditoría.
Ponlo en práctica ahora
Usa las herramientas gratuitas del Toolbox para validar tu configuración en minutos.
¿Necesitas que lo resolvamos contigo?
Un ingeniero de Conecta puede aplicar esto en tu operación: servicio relacionado o conversación directa.