-all

Qué significa

-all les dice a los receptores que las fuentes listadas son las únicas legítimas y que cualquier otra no está autorizada. Los receptores deciden qué hacer con un fail; el RFC 7208 dice que quien rechace durante la sesión SMTP debe usar una respuesta 550 con el código extendido 5.7.1.

Ese rigor tiene un costo cuando falta una fuente legítima en el registro o cuando el correo se reenvía, ya que la dirección IP del reenviador no está listada. Antes de pasar de ~all a -all, revisa en los reportes agregados de DMARC qué fuentes siguen fallando.

Para un dominio que no envía ningún correo, v=spf1 -all es el registro de protección estándar. Outlook.com rechaza el correo de un dominio cuyo registro no autoriza a nadie, lo que atrapa a los dominios que empiezan a enviar sin actualizarlo.