Qu'est-ce que SPF ? Sender Policy Framework expliqué
SPF (Sender Policy Framework) est un enregistrement DNS qui indique quels serveurs de messagerie sont autorisés à envoyer des e-mails au nom de votre domaine. Sans lui, n'importe qui peut falsifier des e-mails paraissant venir de votre domaine.
Comment fonctionne SPF
Lorsqu'un serveur de messagerie destinataire reçoit un e-mail prétendant venir de [email protected], il interroge les enregistrements TXT du DNS de example.com et y cherche un enregistrement SPF. Si l'IP du serveur expéditeur y figure, l'e-mail passe le contrôle SPF. Sinon, il échoue.
- L'e-mail arrive sur le serveur de messagerie du destinataire
- Le serveur consulte dans le DNS l'enregistrement SPF du domaine expéditeur
- Le serveur compare l'IP d'envoi à l'enregistrement SPF
- Si l'IP est autorisée, SPF réussit. Sinon, il échoue.
- Le serveur destinataire applique la politique (~all, -all, etc.)
Syntaxe d'un enregistrement SPF
Un enregistrement SPF est un enregistrement TXT qui commence par v=spf1:
v=spf1 include:_spf.google.com include:sendgrid.net ~all
Décomposons :
- v=spf1 — Identifiant de version SPF (toujours celui-ci)
- include:_spf.google.com — autorise les serveurs de messagerie de Google
- include:sendgrid.net — autorise les serveurs de messagerie de SendGrid
- ~all — softfail pour tout autre serveur
Mécanismes SPF
| Mechanism | Example | Meaning |
|---|---|---|
ip4: | ip4:203.0.113.1 | Autorise une adresse IPv4 précise |
ip6: | ip6:2001:db8::1 | Autorise une adresse IPv6 précise |
include: | include:_spf.google.com | Reprend la politique SPF d'un autre domaine |
a | a | Autorise l'IP de l'enregistrement A du domaine |
mx | mx | Autorise les IP des enregistrements MX du domaine |
Qualificateurs de all
| Qualifier | Name | Meaning |
|---|---|---|
-all | Fail | Rejeter les e-mails des serveurs non autorisés (strict) |
~all | Softfail | Accepter mais marquer comme suspect (recommandé) |
?all | Neutral | Aucune politique — à traiter comme s'il n'y avait pas de SPF |
+all | Pass | Autoriser tous les serveurs — dangereux, à ne jamais utiliser |
Enregistrements SPF courants par fournisseur de messagerie
# Google Workspace v=spf1 include:_spf.google.com ~all # Microsoft 365 v=spf1 include:spf.protection.outlook.com ~all # Mailchimp + Google Workspace v=spf1 include:_spf.google.com include:servers.mcsv.net ~all # SendGrid v=spf1 include:sendgrid.net ~all
Limites de SPF
- Limite de 10 requêtes DNS — SPF autorise au maximum 10 requêtes DNS (chaque
include:,a,mxcompte). Au-delà, cela provoque une PermError. - Le transfert casse SPF — Lorsqu'un e-mail est transféré, l'IP du serveur qui le transfère ne figure pas dans votre enregistrement SPF, et SPF échoue. C'est pourquoi DMARC avec DKIM est également nécessaire.
- Un seul enregistrement SPF par domaine — Plusieurs enregistrements SPF provoquent une PermError. Fusionnez-les en un seul.
Questions fréquentes
Ai-je besoin de SPF ?
Oui. Sans SPF, n'importe qui peut envoyer des e-mails paraissant venir de votre domaine. SPF est la première ligne de défense contre l'usurpation d'e-mail.
Où ajouter un enregistrement SPF ?
Ajoutez un enregistrement TXT à la racine de votre domaine (@) via votre fournisseur DNS ou votre bureau d'enregistrement. La valeur est la chaîne de l'enregistrement SPF.
Comment savoir si mon SPF fonctionne ?
Use the vérificateur de sécurité e-mail or the recherche d'enregistrement TXT pour voir votre enregistrement SPF actuel.
Voyez la théorie en pratique — lancez Vérification de la sécurité e-mail pour votre propre domaine.