Comprobador SPF

Empieza por el dominio remitente

Se seleccionan candidatos v=spf1 entre los TXT conservando los límites de cada RR. Varios candidatos constituyen un problema y no deben fusionarse.

El análisis es estático. No recibe IP remitente, MAIL FROM ni HELO y no determina si un host concreto está autorizado.

example.com. 300 IN TXT "v=spf1 include:mail.example -all"

EJEMPLO DOCUMENTAL — no es una respuesta DNS real

Sigue include y redirect

Se siguen dominios literales, se detectan ciclos evidentes y se conservan consultas. redirect no se aplica si existe all.

Hay límites de solicitudes, profundidad y tiempo. Alcanzarlos produce un resultado incompleto, no un éxito ni la prueba de exceder un límite del protocolo.

Términos y solicitudes no son lo mismo

RFC 7208 limita términos que causan DNS en una ruta evaluada. Las solicitudes HTTP y los términos del grafo estático son medidas distintas.

El grafo incluye ramas que un remitente real quizá no recorra. Superar diez es una observación de riesgo, no un PermError universal. Las consultas vacías y coincidencias requieren contexto del remitente.

Interpreta all y las rutas no admitidas

-all expresa fail para quienes no coinciden; ~all expresa softfail y no siempre es un error. +all permite todos los remitentes. Ninguno garantiza entrega o bandeja de entrada.

Se revisan CIDR y sintaxis común. Las macros complejas se marcan incompletas sin inventar datos; ptr está desaconsejado y no se simula.

No se aplana SPF ni se genera una política para publicar automáticamente. Conserva la anterior y valida con tus servicios reales.