SPF (Sender Policy Framework) est un enregistrement TXT dans les DNS de votre domaine qui liste les serveurs autorisés à envoyer des e-mails en votre nom. Le générateur SPF construit l’enregistrement à partir de vos réponses et compte les requêtes DNS pendant la saisie, car la limite de 10 requêtes est la cause d’échec SPF la plus fréquente. Le bouton « Vérifier l’enregistrement actuel » lit le SPF déjà publié et compte ses requêtes, include imbriqués compris.
Comment remplir le formulaire
- a : autorise le serveur vers lequel pointe l’enregistrement A du domaine. Utile si le serveur web envoie lui-même des e-mails, par exemple via un formulaire de contact.
- mx : autorise les serveurs de vos enregistrements MX. À utiliser si le courrier sortant passe par les mêmes serveurs que le courrier entrant.
- ip4 et ip6 : adresses isolées ou plages CIDR comme 203.0.113.0/24. Ces mécanismes ne coûtent aucune requête DNS.
- include : les services tiers qui envoient pour vous (messagerie professionnelle, CRM, outil d’emailing). Chacun indique dans sa documentation la valeur include exacte, par exemple _spf.google.com pour Google Workspace.
- Politique pour les autres serveurs :
~allmarque les messages étrangers comme suspects,-alldemande aux destinataires de les rejeter.
Publiez le résultat sous forme d’enregistrement TXT sur le domaine lui-même (hôte @). Si un SPF existe déjà, n’en ajoutez pas un second : deux enregistrements SPF provoquent un permerror et SPF échoue pour tout votre courrier. Fusionnez les mécanismes dans un seul enregistrement ; après la vérification du SPF actuel, le bouton « Reprendre dans le formulaire » le fait pour vous.
La limite de 10 requêtes DNS
Pour évaluer SPF, un destinataire peut effectuer au maximum 10 requêtes DNS. Les mécanismes a, mx, include, exists, ptr et le modificateur redirect en consomment une chacun, et chaque include apporte ses propres mécanismes qui comptent aussi. Google Workspace ou Microsoft 365 en utilisent plusieurs à eux seuls : trois ou quatre services connectés suffisent à dépasser la limite. Pour réduire le total, supprimez les services inutilisés, remplacez a et mx par des plages ip4 explicites et évitez ptr.
~all ou -all ?
Commencez par ~all : un message venant d’un serveur oublié sera marqué au lieu d’être perdu. Quand les rapports DMARC montrent que tous les expéditeurs légitimes passent, passez à -all. Le mécanisme +all autorise n’importe qui dans le monde à envoyer au nom de votre domaine, c’est pourquoi le générateur ne le propose pas.
Étapes suivantes
SPF fonctionne avec DKIM et DMARC. Contrôlez votre signature avec l’outil pour vérifier DKIM, créez la politique des messages en échec avec le générateur DMARC, et suivez l’ordre complet dans notre guide pour configurer SPF, DKIM et DMARC. Après publication, contrôlez l’enregistrement dans le mode messagerie de l’outil pour vérifier les DNS : les changements apparaissent en général en quelques minutes, parfois en quelques heures.
Si votre courrier passe par la messagerie professionnelle de RichHost, il part d’adresses IP propres, la délivrabilité est surveillée, et le nombre comme la taille des boîtes sont illimités.
Questions fréquentes
Un domaine peut-il avoir deux enregistrements SPF ?
Non. Un seul enregistrement TXT commençant par v=spf1 est autorisé, sinon les destinataires renvoient permerror.
Faut-il un SPF si le domaine n’envoie aucun e-mail ?
Oui. L’enregistrement v=spf1 -all déclare que le domaine n’envoie pas de courrier et complique l’usurpation.
Que faire si l’enregistrement dépasse 255 caractères ?
Découpez la valeur en plusieurs chaînes entre guillemets dans un seul enregistrement TXT. Les destinataires les réassemblent.
Où ajouter l’enregistrement SPF ?
Dans la zone DNS du domaine, là où ses enregistrements sont gérés : chez le registrar, chez le fournisseur DNS ou dans le panneau d’hébergement. Type TXT, nom @ ou vide.