Comment créer un enregistrement SPF : syntaxe, exemples et erreurs courantes

La version courte

1. Ce que fait un enregistrement SPF. SPF signifie Sender Policy Framework.
2. La syntaxe, élément par élément. Tout enregistrement SPF commence par v=spf1.
3. Étape 1 : listez chaque expéditeur. Notez chaque système qui envoie des e-mails au nom de votre domaine : votre service d'envoi, votre fournisseur de messagerie, votre site web ou boutique, votre CRM, votre support client et tout outil de facturation ou de RH.
4. Étape 2 : construisez l'enregistrement. Commencez par v=spf1, ajoutez un include ou un ip4 pour chaque expéditeur, et terminez par ~all.
5. Étape 3 : publiez-le dans le DNS. Ajoutez un enregistrement TXT à la racine de votre domaine.
6. Étape 4 : testez-le. Utilisez une recherche pour confirmer que l'enregistrement est publié et correctement interprété, puis envoyez un message de test à une boîte que vous contrôlez et lisez les résultats d'authentification dans ses en-têtes.

Ce que fait un enregistrement SPF

SPF signifie Sender Policy Framework. C'est un enregistrement TXT dans le DNS de votre domaine qui liste les serveurs autorisés à envoyer du courrier avec votre domaine. Lorsqu'un message arrive, le serveur de réception consulte l'enregistrement SPF du domaine expéditeur et vérifie si l'adresse IP de connexion figure sur la liste.

SPF vérifie l'expéditeur de l'enveloppe, aussi appelé adresse Return-Path ou MAIL FROM, et non l'adresse From que voient les gens. Cette distinction compte plus tard, lorsque nous abordons l'alignement DMARC.

La syntaxe, élément par élément

Tout enregistrement SPF commence par v=spf1. Viennent ensuite les mécanismes, chacun désignant une source de courrier, et l'enregistrement se termine par un mécanisme all qui indique quoi faire de tout le reste. ip4 et ip6 listent des adresses ou des plages. include intègre l'enregistrement SPF d'un autre domaine, ce qui permet d'autoriser un service d'envoi. a et mx autorisent les adresses des serveurs web ou de messagerie de votre propre domaine.

v=spf1 ip4:203.0.113.10 include:YOUR_SPF_HOST ~all

Chaque mécanisme peut être précédé d'un qualificateur. Un plus signifie réussite et c'est la valeur par défaut. Un moins signifie échec, un tilde signifie échec souple (softfail) et un point d'interrogation signifie neutre. Ainsi, ~all indique que tout ce qui n'est pas listé est suspect mais pas interdit, et -all indique que cela doit être rejeté.

Étape 1 : listez chaque expéditeur

Notez chaque système qui envoie des e-mails au nom de votre domaine : votre service d'envoi, votre fournisseur de messagerie, votre site web ou boutique, votre CRM, votre support client et tout outil de facturation ou de RH. SPF doit tous les couvrir dans un seul enregistrement ; une liste incomplète casse donc ceux que vous avez oubliés.

Chaque fournisseur documente la valeur include à utiliser. Pour MigoSMTP, copiez la valeur SPF affichée dans votre tableau de bord plutôt que de la deviner.

Étape 2 : construisez l'enregistrement

Commencez par v=spf1, ajoutez un include ou un ip4 pour chaque expéditeur, et terminez par ~all. Par exemple, une entreprise qui utilise un fournisseur de messagerie et un service d'envoi aurait deux include et une terminaison.

Placez le tout dans un seul enregistrement TXT. Ne créez pas un enregistrement par expéditeur. C'est la cause la plus fréquente d'échec de SPF, et nous y revenons plus bas.

Étape 3 : publiez-le dans le DNS

Ajoutez un enregistrement TXT à la racine de votre domaine. Dans de nombreux panneaux DNS, l'hôte est @ ou reste vide. Collez la valeur exactement telle que construite, sans guillemets supplémentaires sauf si le panneau les demande. Les panneaux de registraires indiens tels que GoDaddy, BigRock et Hostinger, ainsi que les hébergeurs DNS comme Cloudflare, suivent tous le même schéma.

Si un enregistrement existe déjà à la racine, modifiez-le au lieu d'en ajouter un second. Les changements peuvent mettre de quelques minutes à quelques heures à se propager, selon le TTL de l'enregistrement.

Étape 4 : testez-le

Utilisez une recherche pour confirmer que l'enregistrement est publié et correctement interprété, puis envoyez un message de test à une boîte que vous contrôlez et lisez les résultats d'authentification dans ses en-têtes. Cherchez spf=pass. Notre vérificateur gratuit affiche vos enregistrements SPF, DKIM et DMARC au même endroit et signale les erreurs courantes.

Testez depuis chaque système qui envoie, pas seulement un. Une réussite de votre service d'envoi ne dit rien de l'outil de facturation.

Erreur 1 : plus d'un enregistrement SPF

Un domaine doit publier exactement un enregistrement SPF. Deux enregistrements font renvoyer à SPF une erreur permanente, que les destinataires traitent comme un échec. Si plusieurs équipes ont chacune ajouté le leur, fusionnez-les en un seul enregistrement contenant tous les include.

C'est facile à provoquer lorsque vous ajoutez un nouvel outil dont les instructions demandent de créer un nouvel enregistrement TXT. Lisez d'abord ce qui existe déjà.

Erreur 2 : trop de requêtes DNS

SPF autorise au maximum dix requêtes DNS lors de l'évaluation d'un enregistrement. Chaque mécanisme include, a, mx et similaire compte, et les include imbriqués aussi. ip4 et ip6 ne comptent pas. Au-delà de dix, SPF renvoie une erreur permanente, et la vérification échoue même si chaque partie semblait correcte.

Supprimez les expéditeurs que vous n'utilisez plus, remplacez les mécanismes a et mx par des plages ip4 explicites lorsque les adresses sont stables, et évitez d'empiler de nombreux include. Certains services proposent l'aplatissement SPF (SPF flattening), qui remplace les include par des adresses. Cela fonctionne, mais les adresses changent avec le temps ; il faut donc le maintenir à jour.

Erreur 3 : choisir -all trop tôt

Un échec strict avec -all demande aux destinataires de rejeter tout ce qui n'est pas listé. Si votre liste omet un expéditeur, le courrier de celui-ci est rejeté. La plupart des équipes commencent par ~all, surveillent leurs rapports DMARC pendant quelques semaines, et ne durcissent que lorsqu'elles sont sûres que chaque expéditeur est listé.

Quel que soit votre choix, SPF seul ne détermine pas le placement en boîte de réception. C'est un signal parmi d'autres, qui fonctionne avec DKIM et DMARC.

Pourquoi SPF échoue sur le courrier transféré

Lorsque quelqu'un transfère votre message, il est envoyé depuis le serveur du transmetteur, qui ne figure pas dans votre enregistrement ; SPF échoue donc à la destination finale. C'est normal et ce n'est pas une erreur de votre part.

C'est pourquoi DKIM est important. Une signature DKIM survit généralement au transfert, et DMARC réussit si SPF ou DKIM réussit et est aligné. Mettez en place les deux.

Pour aller plus loin et sources

• RFC 7208 : Sender Policy Framework (SPF)
• Google Workspace : définir votre enregistrement SPF
• Microsoft : configurer SPF pour éviter l'usurpation d'identité

Faites-le dans MigoSMTP : articles du centre d'aide

• Corriger l'erreur permanente SPF et la limite de 10 requêtes
• Vérifier votre domaine d'envoi : enregistrements DNS et propagation
• Authentifier un domaine d'envoi dans MigoSMTP : SPF, DKIM et DMARC

Guides et outils associés

• Vérificateur d'enregistrement SPF : consultez un enregistrement et comptez ses requêtes DNS.
• Générateur d'enregistrement SPF : construisez un enregistrement à partir de vos expéditeurs.
• Configuration de DKIM, SPF et DMARC : authentifiez votre domaine de bout en bout.