Entrez votre domaine
Commencez par saisir le domaine pour lequel vous souhaitez créer un enregistrement SPF.
Qu'est-ce que le SPF ?
Le SPF (Sender Policy Framework) est un protocole d'authentification des e-mails défini dans la norme RFC 7208. Il fonctionne en publiant un enregistrement DNS de type TXT sous votre domaine, listant chaque adresse IP ou nom d'hôte autorisé à envoyer du courrier « de la part » de ce domaine. Lorsqu'un serveur de messagerie récepteur reçoit un message prétendant provenir de vous, il interroge votre DNS pour vérifier si l'IP du serveur d'envoi figure sur votre liste approuvée.
Sans SPF, n'importe qui peut forger le chemin de retour (enveloppe From) d'un e-mail et le faire paraître comme provenant de votre domaine — une technique couramment utilisée dans les campagnes de phishing et de spam.
Pourquoi avez-vous besoin du SPF ?
1Prévient l'usurpation
Empêche les acteurs malveillants de falsifier votre domaine en tant qu'adresse d'expédition
2Améliore la délivrabilité
Les serveurs récepteurs font confiance aux expéditeurs autorisés et réduisent les scores de spam
3Requis pour DMARC
Le SPF est l'un des deux mécanismes sur lesquels DMARC s'appuie pour l'alignement
4Protection de la réputation
Les expéditeurs non autorisés ne peuvent pas nuire à la réputation d'envoi de votre domaine
Comment fonctionne le SPF — étape par étape
Vous publiez un enregistrement TXT sur `_votre-domaine.com` listant les IP autorisées et les inclusions.
Votre serveur de messagerie envoie un e-mail ; l'adresse « From » de l'enveloppe porte votre domaine.
Le serveur récepteur extrait l'IP d'envoi et le domaine de l'enveloppe From.
Il interroge votre DNS pour l'enregistrement SPF et vérifie si l'IP d'envoi est listée.
Le résultat est `pass`, `fail`, `softfail`, `neutral` ou `permerror` — utilisé pour les décisions de filtrage anti-spam.
Syntaxe de l'enregistrement SPF
v=spf1 ip4:203.0.113.10 include:_spf.google.com include:sendgrid.net -allDétail des mécanismes
v=spf1— version, toujours en premierip4:— autoriser une adresse/plage IPv4ip6:— autoriser une adresse/plage IPv6include:— hériter du SPF d'un autre domainea— autoriser l'IP de l'enregistrement A du domainemx— autoriser les serveurs MX du domaineredirect=— déléguer au SPF complet d'un autre domaineQualificateurs (préfixe de chaque mécanisme)
+ (par défaut)Pass — autorisé-Fail — rejeter les expéditeurs non autorisés~SoftFail — marquer comme suspect, ne pas rejeter?Neutral — aucune affirmationÉchecs SPF courants et solutions
Trop de recherches DNS
Aplatissez votre enregistrement SPF en remplaçant les inclusions par des IP brutes, ou utilisez un service d'aplatissement SPF
Service d'envoi manquant
Ajoutez la balise include: du service (ex: Mailchimp, Zendesk) à votre enregistrement SPF
Enregistrements SPF multiples
Un SEUL enregistrement TXT commençant par v=spf1 est autorisé — fusionnez-les en un seul enregistrement
E-mails transférés
Le SPF échoue lors du transfert car l'IP du serveur de transfert n'est pas dans votre liste — le DKIM résout ce problème
Foire aux questions
Identifiez chaque service qui envoie des e-mails pour votre domaine. Utilisez notre générateur pour les ajouter en tant que mécanismes 'include' et terminez par ~all ou -all.
Utilisez les mécanismes 'ip4:' ou 'ip6:'. C'est le moyen le plus efficace d'autoriser vos propres serveurs sans augmenter la limite de recherche DNS.
Les plus courants sont 'v=spf1', 'include', 'ip4'/'ip6', 'a' et 'mx'.
Utilisez 'ip4' ou 'ip6' pour vos propres serveurs car ils ne nécessitent pas de recherche DNS. Utilisez 'include' pour les services tiers.
Listez simplement plusieurs mécanismes 'include' dans un seul enregistrement, en veillant à ne pas dépasser la limite de 10 recherches DNS.
Tous deux indiquent aux destinataires ce qu'ils doivent faire des e-mails provenant de serveurs non listés dans votre enregistrement SPF. -all (hard fail) leur demande de rejeter les e-mails non autorisés, tandis que ~all (soft fail) leur dit de les accepter mais de les marquer comme suspects. Utilisez ~all pendant la phase de test, puis passez à -all une fois certain que chaque expéditeur légitime est bien inclus.
Les modifications SPF se propagent généralement en quelques minutes à quelques heures, mais cela peut prendre jusqu'à 24 à 48 heures selon le paramètre TTL de votre fournisseur DNS. Abaisser le TTL avant d'effectuer les changements permet aux mises à jour de prendre effet plus rapidement.
Publiez l'enregistrement dans votre DNS, puis lancez un vérificateur SPF pour confirmer qu'il se résout, qu'il reste dans la limite de 10 recherches DNS et qu'il autorise toutes vos sources d'envoi. Envoyer un e-mail de test à une adresse seed et vérifier la présence de spf=pass dans les en-têtes constitue la confirmation finale.