Saisissez un domaine pour voir son enregistrement SPF, compter les recherches DNS et trouver les erreurs qui font échouer SPF.
Cet outil vérifie l'enregistrement tel qu'il est publié dans le DNS à l'instant. Il ne teste pas si un message précis a réussi SPF. Pour le savoir, ouvrez les en-têtes du message et lisez la ligne Authentication-Results. Les modifications récentes peuvent mettre du temps à apparaître en raison du cache DNS.
SPF (Sender Policy Framework) permet à un domaine de publier, dans le DNS, la liste des serveurs autorisés à envoyer des e-mails en son nom. À l'arrivée d'un message, le serveur destinataire examine le domaine de l'expéditeur d'enveloppe (le Return-Path, aussi appelé MAIL FROM) et lit l'enregistrement SPF de ce domaine. Si l'adresse IP qui se connecte figure dans la liste, SPF réussit. Sinon, l'enregistrement indique au destinataire ce qu'il doit faire.
SPF ne regarde pas l'adresse From que voient vos destinataires. C'est pourquoi un message peut réussir SPF et échouer quand même à DMARC : les deux domaines doivent s'aligner, et SPF seul ne l'assure pas.
Un enregistrement SPF est une simple ligne de texte qui commence par v=spf1 et se compose de termes lus de gauche à droite. Le premier terme qui correspond à l'IP d'envoi détermine le résultat.
| Terme | Ce que cela signifie |
|---|---|
| ip4:203.0.113.0/24, ip6:... | Autorise une adresse ou une plage fixe. Ne coûte aucune recherche DNS. |
| include:example.net | Autorise aussi ce que l'enregistrement SPF d'example.net autorise. Coûte une recherche, plus celles qu'il contient. |
| a, mx | Autorise les adresses des enregistrements A ou MX du domaine. Chacun coûte des recherches. |
| redirect=example.net | Remplace cet enregistrement par celui d'example.net. Utilisé quand un autre domaine doit tout décider. |
| exists:, ptr | Rarement nécessaires. ptr est déconseillé par la norme et ne doit pas être utilisé. |
| -all, ~all, ?all, +all | Le terme final fourre-tout : rejeter, soft fail, neutre, ou tout autoriser. +all permet à n'importe qui d'envoyer en votre nom. |
La norme SPF (RFC 7208) autorise un destinataire à effectuer au maximum dix recherches DNS pour évaluer un enregistrement. Les termes include, a, mx, ptr, exists et redirect comptent chacun, de même que chaque recherche à l'intérieur d'un enregistrement inclus. Au-delà de dix, le résultat est une erreur permanente, que les destinataires traitent comme un échec.
Empiler plusieurs services d'e-mail en est la cause habituelle : une plateforme marketing, un helpdesk, un CRM et un fournisseur de messagerie peuvent consommer l'essentiel du budget à eux seuls. Le vérificateur suit chaque include comme le fait un destinataire et affiche le compte par rapport à la limite, pour que vous voyiez quelle branche coûte cher.
La norme limite aussi à deux les recherches « void » (noms qui ne renvoient rien). Un include qui pointe vers un domaine sans enregistrement SPF est donc compté comme un problème.
Les corrections qui marchent : retirer les services que vous n'utilisez plus, remplacer les termes a, mx et include par des plages ip4 et ip6 lorsque le fournisseur en publie de stables, et envoyer différents types d'e-mails depuis différents sous-domaines pour que chacun ait son propre enregistrement.
Voici les problèmes que nous rencontrons le plus souvent ; le vérificateur signale chacun d'eux avec une correction en langage clair.
Un enregistrement sans erreur signifie que la politique est bien formée. Cela ne prouve pas qu'un message précis a réussi le contrôle. Pour tester un vrai message, ouvrez ses en-têtes et lisez la ligne Authentication-Results, ou collez-les dans notre analyseur d'en-têtes d'e-mail.
SPF échoue aussi lors du transfert d'un e-mail, car l'IP du serveur de transfert ne figure pas dans votre enregistrement. C'est l'une des raisons pour lesquelles DMARC accepte SPF ou DKIM, et pour lesquelles vous devriez aussi signer vos e-mails avec DKIM.
~all (échec souple) et -all (échec strict) indiquent tous deux au destinataire que l'expéditeur n'était pas autorisé. En pratique, la plupart des destinataires utilisent SPF comme un signal parmi d'autres et appliquent leur propre jugement ; c'est DMARC qui décide du sort des e-mails en échec. Beaucoup d'organisations publient ~all tant qu'elles découvrent encore tous leurs expéditeurs, puis passent à -all quand la liste est complète. Les deux sont acceptables ; +all et l'absence de all ne le sont pas.
Lit les enregistrements TXT à la racine du domaine et repère celui qui commence par v=spf1. Signale l'absence d'enregistrement et la présence de plusieurs.
Suit chaque include et redirect comme le fait un serveur de réception, et additionne les requêtes par rapport à la limite de dix.
Recherche les mécanismes inconnus, les adresses et plages IP invalides, les include qui ne mènent nulle part, les boucles et les termes jamais évalués.
Avertit en cas de +all et ?all, de mécanisme ptr obsolète, d'absence de all, et d'enregistrements assez longs pour poser problème au DNS.
Un enregistrement SPF est un enregistrement DNS TXT de votre domaine qui liste les serveurs autorisés à envoyer des e-mails pour lui. À la réception d'un message, les serveurs comparent l'adresse IP de l'expéditeur à cette liste.
L'évaluation SPF ne peut déclencher que dix requêtes DNS au maximum. Chaque include, a, mx, ptr, exists et redirect compte, tout comme les requêtes à l'intérieur des enregistrements inclus. Si un enregistrement en demande plus de dix, les destinataires renvoient une erreur permanente et SPF échoue pour tous les messages du domaine.
Chaque include pointe vers un autre enregistrement, qui peut lui-même contenir des include. Le vérificateur les suit tous et les additionne, comme le fait un serveur de réception. Un enregistrement de quatre include peut facilement utiliser huit requêtes ou plus.
Cela signifie que l'enregistrement n'a pas pu être évalué. Les causes habituelles sont deux enregistrements SPF sur un même domaine, plus de dix requêtes, une erreur de syntaxe, ou un include qui pointe vers un domaine sans enregistrement SPF.
Non. SPF est un signal parmi d'autres. Les destinataires examinent aussi DKIM, l'alignement DMARC, la réputation de l'expéditeur, les taux de plainte et le contenu. Réussir SPF est nécessaire à une bonne délivrabilité, mais pas suffisant.
Les recherches s'exécutent sur nos serveurs, et les résultats sont conservés environ cinq minutes afin que les contrôles répétés ne refassent pas les requêtes DNS. Les contrôles ne sont liés à aucun compte, et l'outil est soumis à une limitation de débit pour protéger les serveurs DNS interrogés.
Suivez le guide pas à pas, ou utilisez le générateur pour créer un enregistrement qui reste dans la limite de requêtes.
Créez un compte, ajoutez votre domaine et envoyez votre premier e-mail.