¿Se aplican los registros SPF a todos los subdominios?

No puedo ver nada en el estándar SPF, lo que implicaría que un registro SPF cubre todos los subdominios también. Dado que los subdominios a veces son administrados por diferentes partes (especialmente en organizaciones más grandes como las universidades) tampoco tendría mucho sentido cubrir de manera implícita los subdominios. Y el estándar dice en la sección 4.4 :

  

4.4. Búsqueda de registros
De acuerdo con cómo se publican los registros (consulte la Sección 3      anterior), se debe realizar una consulta de DNS para el < dominio > nombre , consultando      solo para el tipo TXT.

"< dominio > nombre" es el dominio del correo electrónico, no un dominio superior.

SPF no se "enrolla" al dominio organizacional (este es el término de DMARC para lo que se registra, inmediatamente debajo del TLD / sufijo público ). Cuando SPF se refiere a un "dominio", significa el nombre de dominio completamente calificado (FQDN, "host").

Puede hacer este resumen con un registro de DNS comodín , así que si controla example.com con BIND :

*         IN  TXT     v=spf1 a 192.0.2.0/24 -all
@         IN  TXT     v=spf1 a mx 192.0.2.0/24 ~all

Elegí hacer que @ (el nivel superior) permita el intercambio de correo y sea más indulgente con respecto a la falta de relés (que serán SOFTFAIL) mientras que cualquier otro host activará el comodín y enviará el correo por sí mismo (el A record, que también afecta a AAAA de IPv6, más el CIDR de red permitido, con un FAIL más final para los elementos que no pasan. Esto no es autoritario sin DMARC, que también podría configurarse con un comodín si se desea.