Как правильно настроить SPF чтобы не было спуфинга?
Блочить письма должны получатели. Вы лишь можете предоставить им методы подтверждения подлинности ваших писем, а именно: SPF, DKIM и DMARC. Именно наличие DMARC записи указывает, что делать получателю с письмами в зависимости от политики:none - не принимать никаких особых действий, всё на усмотрение почтовика;quarantine - отпарвить в спам;reject - не принимать письмо.
Но опять же, обработка всех этих записей, всё это на усмотрение сервера получателя...
Само по себе наличие у домена SPF-записи (ваша выглядит вполне правильной) ничего никому не запрещает. Каждый получатель сам решает, что делать в случае несоответствия отправителя SPF-политике. Вот у вас, например, спам-фильтр перекладывает такие письма в папку Спам. У кого-то из клиентов - заблокирует на входе. У кого-то - проигнорирует...