Générateur SPF

Listez chaque service qui envoie des e-mails pour votre domaine : votre messagerie (Google Workspace ou Microsoft 365), les plateformes marketing, les envois transactionnels, votre CRM, votre help desk et tout serveur mail que vous gérez. Chacun a un mécanisme SPF documenté, en général un include. Sélectionnez-les dans le générateur, choisissez le sort des autres (~all pour commencer) et publiez le résultat en TXT à la racine du domaine. Le difficile n’est pas la syntaxe, c’est de n’oublier aucun service. Les rapports DMARC agrégés révèlent ceux que vous avez oubliés.

Non. La norme SPF en exige un seul : si les destinataires trouvent deux TXT v=spf1, le résultat est un permerror et les deux sont de fait ignorés, ce qui est pire que de n’en avoir aucun. Si votre domaine a déjà un SPF, fusionnez-y les nouveaux mécanismes : gardez un seul v=spf1 au début, combinez les mécanismes include et ip, et un seul qualificateur all à la fin.

Les destinataires arrêtent d’évaluer un SPF après 10 requêtes DNS ; au-delà, le résultat est un permerror, que les messageries traitent comme un échec. Les mécanismes a, mx, include, exists, redirect et ptr coûtent chacun une requête, et les include en déclenchent souvent d’autres : un enregistrement avec 6 include peut dépasser la limite en silence. ip4 et ip6 ne coûtent rien, d’où la solution habituelle à un enregistrement trop long : remplacer des include par les plages IP publiées par vos fournisseurs, ou utiliser un service d’aplatissement.

Utilisez ~all si le domaine envoie des e-mails, et -all seulement s’il n’en envoie aucun. ~all (softfail) demande d’accepter mais de marquer les expéditeurs non listés ; -all (échec strict) demande de les refuser, ce qui refuse aussi les e-mails transférés qui étaient bien les vôtres. Une fois DMARC en application, les deux protègent autant contre l’usurpation : sur un domaine qui envoie, ~all est l’état final, pas une étape vers -all. Ce qui se durcit avec le temps, c’est la politique DMARC. Évitez ?all : il équivaut à n’avoir aucun avis, ne protège rien et fait négligé.

Google Workspace documente include:_spf.google.com et Microsoft 365 include:spf.protection.outlook.com, un include chacun, tous deux intégrés au générateur. Tout ce que Google ou Microsoft envoie pour vous est couvert par ce seul mécanisme : inutile d’ajouter leurs IP de serveurs. Si vous envoyez aussi via une plateforme marketing ou transactionnelle, son include va dans le même enregistrement, pas dans un second.

Non, et cela surprend. SPF valide l’expéditeur d’enveloppe caché (Return-Path), pas l’adresse From affichée : un usurpateur peut passer SPF pour son propre domaine tout en affichant le vôtre dans le From. Combler cet écart, c’est le rôle de DMARC : il exige que le domaine validé par SPF s’aligne sur le domaine From visible et vous laisse demander le rejet des e-mails en échec. Publiez SPF, puis ajoutez DKIM et une politique DMARC. C’est ce trio qui arrête vraiment l’usurpation.

v=spf1 -all : un enregistrement qui n’autorise rien. Les domaines qui n’envoient pas d’e-mails sont des cibles de choix pour l’usurpation, justement parce que personne ne les surveille, et les messageries recommandent d’y publier un SPF qui refuse tout. Cochez l’option domaine parqué dans le générateur pour l’obtenir, et associez-le à un DMARC p=reject pour un verrouillage complet.

Tous les services n’utilisent plus un include SPF partagé. Klaviyo, HubSpot, Mailchimp Transactional (Mandrill), Constant Contact et SparkPost, par exemple, s’authentifient par des CNAME ou des valeurs propres au compte, générées dans leur tableau de bord. Leur ajouter un include générique ne servirait à rien. Voyez la page d’authentification de domaine ou de réglages DNS du fournisseur : s’il donne une valeur include, collez-la dans le champ Autres include ci-dessus ; s’il donne des CNAME, publiez-les et laissez SPF tel quel.

Passez-le au test SPF, qui lit l’enregistrement en ligne, valide la syntaxe, compte les requêtes DNS et signale les problèmes comme des enregistrements multiples ou des include introuvables. Envoyez ensuite un test à une adresse Gmail et utilisez Afficher l’original pour voir spf=pass. Pour une certitude durable sur chaque service d’envoi, les rapports DMARC agrégés montrent les résultats SPF tels que tous les destinataires les voient.