Le SPF (Sender Policy Framework) est un enregistrement DNS de type TXT qui répertorie les serveurs autorisés à envoyer des e-mails pour un domaine donné, afin qu’un serveur destinataire puisse rejeter les messages prétendant provenir de vous mais qui ont en réalité été envoyés depuis un autre serveur.
Fonctionnement
Vous publiez un enregistrement TXT sur votre domaine, commençant par « v=spf1 ». Lorsqu’un serveur reçoit un e-mail, il recherche l’enregistrement SPF du domaine figurant dans l’enveloppe d’expédition du message et vérifie si l’adresse IP du serveur connecté figure dans la liste. Ce mécanisme est défini dans la RFC 7208.
Un enregistrement est une liste de mécanismes à lire de gauche à droite, se terminant par un « all » qui indique la marche à suivre pour tous les autres :
-all— échec définitif : les e-mails provenant de toute autre source ne sont pas autorisés.~all— échec souple : probablement non autorisé, à traiter avec méfiance. Courant lors de la configuration d’un domaine.?all— neutre : aucune indication, ce qui rend l’enregistrement pratiquement inutile.
L’erreur que presque tout le monde commet
Un domaine ne peut posséder qu’un seul enregistrement SPF. La présence de deux enregistrements « v=spf1 » ne signifie pas que « les deux s’appliquent » : il s’agit d’une erreur permanente, et les destinataires considèrent que le domaine ne dispose d’aucun SPF valide. Lorsque vous ajoutez un fournisseur de messagerie, vous devez fusionner son « include: » dans votre enregistrement existant plutôt que d’en ajouter un second.
L’autre piège réside dans la limite de 10 requêtes : chaque « include: », « a » et « mx » entraîne une requête DNS, et un enregistrement nécessitant plus de dix requêtes échoue. Les domaines qui ont accumulé un outil marketing, un CRM et un service d’assistance atteignent cette limite sans s’en rendre compte.
Comment vérifier le vôtre
dig +short TXT yourdomain.comRecherchez la ligne unique commençant par « v=spf1 ».
Le SPF chez Mailotte
mailotte.com publie un enregistrement SPF se terminant par -all, ce qui entraîne un échec définitif. Lorsque vous connectez votre propre domaine, Mailotte vous demande de publier « v=spf1 include:mailotte.com ~all », en remplacement de tout enregistrement SPF dont vous disposez déjà. Il s’agit d’un échec « soft » volontaire : c’est un point de départ sûr pendant la migration de la messagerie d’un domaine, et vous pouvez le renforcer en le remplaçant par « -all » une fois que tout ce qui envoie des e-mails sous votre domaine est couvert par l’enregistrement.
Questions
Un domaine peut-il avoir deux enregistrements SPF ?
Non. La présence de deux enregistrements v=spf1 constitue une erreur permanente, et les destinataires considèrent alors que le domaine ne dispose d’aucun enregistrement SPF valide. Regroupez tous les expéditeurs dans un seul enregistrement.
Quel est le meilleur : ~all ou -all ?
« -all » est plus strict et constitue l’objectif à atteindre une fois que vous connaissez tous les serveurs qui envoient des e-mails au nom de votre domaine. « ~all » est le paramètre le plus sûr pendant que vous êtes encore en train de les recenser, car un expéditeur légitime que vous auriez oublié sera marqué comme suspect plutôt que rejeté.
Le SPF empêche-t-il quelqu’un d’usurper mon adresse « De » ?
Pas à lui seul. Le SPF vérifie l’expéditeur de l’enveloppe, que le destinataire ne voit jamais, et non l’en-tête « De » qu’il voit. C’est le DMARC qui relie ces deux éléments.
Termes associés
- DKIM — DomainKeys Identified Mail
- DMARC — Authentification, rapport et conformité des messages basés sur le domaine
- Enregistrement MX — Enregistrement Mail Exchanger
- Tous les termes