Ce générateur d'enregistrement SPF assemble un enregistrement Sender Policy Framework valide à partir des expéditeurs que vous sélectionnez, puis vous remet une seule ligne à publier dans le DNS. Savoir ce que contient cette ligne rend bien plus facile sa maintenance et permet de créer un enregistrement SPF correctement - voici donc ce que le générateur construit et pourquoi chaque partie compte.
L'anatomie d'un enregistrement SPF
Chaque enregistrement SPF suit une syntaxe d'enregistrement SPF stricte : un unique enregistrement DNS TXT composé de trois parties - une balise de version, un ou plusieurs mécanismes et un qualificateur de fermeture. Un enregistrement complet ressemble à ceci :
v=spf1 include:_spf.google.com ip4:203.0.113.10 -all
La balise v=spf1 identifie l'entrée comme SPF et doit venir en premier - un enregistrement qui commence par autre chose est ignoré. Chaque mécanisme au milieu autorise un groupe d'expéditeurs, et le -all final indique aux destinataires comment traiter tout expéditeur non correspondant. Le générateur les produit toujours dans le bon ordre, car un enregistrement sans v=spf1 en tête ou sans qualificateur all de fermeture est considéré comme invalide.
Les mécanismes que vous pouvez ajouter
Chaque ligne que vous ajoutez au générateur devient l'un de ces mécanismes :
include:- autorise les expéditeurs d'un autre domaine (c'est ainsi que vous ajoutez Google Workspace, Microsoft 365, SendGrid et la plupart des fournisseurs SaaS). Chaque include coûte au moins une recherche DNS, et souvent plus, car il peut intégrer d'autres include.ip4:etip6:- autorisent directement une adresse IP ou une plage CIDR spécifique. Ceux-ci coûtent zéro recherche DNS, ce qui en fait le moyen le moins coûteux d'ajouter un serveur de messagerie connu.aetmx- autorisent les hôtes des enregistrements A ou MX de votre domaine. Chacun coûte une recherche.all- le fourre-tout qui doit venir en dernier, associé à un qualificateur qui définit votre politique.
Choisir votre politique : -all, ~all ou ?all
Le qualificateur placé devant all décide ce que les destinataires font du courrier qui n'est autorisé par aucun autre mécanisme :
-all(rejet strict / hardfail) - rejette purement et simplement le courrier non autorisé. C'est l'objectif une fois que chaque expéditeur légitime figure dans l'enregistrement.~all(rejet souple / softfail) - accepte mais marque le courrier non autorisé comme suspect. Utilisez-le pendant que vous déployez SPF et confirmez que rien de légitime n'est oublié.?all(neutre) - n'affirme rien du tout. N'offre aucune protection et est rarement le bon choix.
Un déploiement sûr consiste à générer avec ~all, à surveiller vos rapports pendant une semaine ou deux, puis à régénérer avec -all une fois que vous êtes confiant. Évitez complètement +all - il autorise l'intégralité d'Internet à envoyer au nom de votre domaine.
Les erreurs courantes que le générateur évite
- Plus d'un enregistrement SPF. Un domaine ne peut publier qu'un seul enregistrement TXT
v=spf1; un second rend les deux invalides. Combinez tous les expéditeurs dans l'unique enregistrement que produit le générateur. - Dépasser la limite de 10 recherches. Ajouter trop de mécanismes
include:vous fait franchir le plafond et déclenche un PermError. Le compteur en direct le signale avant que vous ne publiiez. - Utiliser
ptr. Le mécanismeptrest obsolète et lent ; le générateur s'appuie plutôt surinclude,ip4etip6. - Oublier le qualificateur
allou scinder une chaîne au-delà de la limite TXT de 255 caractères - les deux brisent silencieusement l'enregistrement.
Rester sous la limite de 10 recherches DNS
La spécification SPF plafonne les recherches DNS à dix par évaluation (RFC 7208, section 4.6.4). Chaque mécanisme include, a, mx et exists compte, et les include imbriqués comptent de façon récursive - si bien qu'une poignée de fournisseurs SaaS peut discrètement dépasser dix. Lorsque votre enregistrement généré dépasse la limite (ou en est proche), AutoSPF aplatit les include en un enregistrement compact et rescanne toutes les 15 minutes, vous maintenant sous le plafond sans perdre aucun expéditeur autorisé. Consultez trop de recherches DNS pour l'explication complète.
SPF, DKIM et DMARC fonctionnent ensemble
Un enregistrement SPF généré est l'une des trois normes d'authentification des e-mails. SPF vérifie le serveur d'envoi, DKIM signe le message pour que les destinataires puissent prouver qu'il n'a pas été altéré, et DMARC les relie et indique aux destinataires quoi faire en cas d'échec. Gmail, Yahoo et Microsoft exigent désormais les trois de la part des expéditeurs en masse, alors associez ce générateur au vérificateur DMARC gratuit et à la recherche DKIM pour une couverture complète.
Publiez, puis vérifiez
Une fois l'enregistrement généré, publiez-le en tant qu'enregistrement TXT à l'apex de votre domaine (hôte @), attendez la propagation DNS - généralement 5 à 60 minutes - puis confirmez-le avec le vérificateur SPF gratuit ou recherchez votre enregistrement SPF pour vous assurer qu'il se résout et reste sous dix recherches. Rappelez-vous que les sous-domaines n'héritent pas de l'enregistrement SPF du parent : tout sous-domaine qui envoie du courrier a besoin de son propre enregistrement, que vous pouvez construire de la même manière.