Constructeur d’enregistrement SPF

Le Générateur d'enregistrement SPF produit des enregistrements DNS TXT Sender Policy Framework (SPF) syntaxiquement corrects qui autorisent des serveurs de messagerie spécifiques à envoyer des e-mails au nom de votre domaine. Saisissez les adresses IP de vos serveurs, les includes de services tiers et vos préférences de politique pour obtenir un enregistrement prêt à publier tel que v=spf1 ip4:203.0.113.5 include:_spf.google.com -all.

Comprendre les enregistrements SPF

Si vous gérez un domaine qui envoie des e-mails, SPF est l'une des premières choses à configurer correctement. Sans enregistrement SPF, n'importe quel serveur sur Internet peut envoyer des messages semblant provenir de votre domaine, et les serveurs de messagerie destinataires n'ont aucun moyen de distinguer vos e-mails légitimes des messages de phishing usurpés. SPF vous permet de déclarer quelles adresses IP et quels services sont autorisés à envoyer en votre nom, et donne aux destinataires un moyen de vérifier cette déclaration avant d'accepter un message.

Un enregistrement SPF est un enregistrement DNS TXT publié à la racine de votre domaine. Lorsqu'un serveur de messagerie destinataire reçoit un message se déclarant provenir de votre domaine, il consulte votre enregistrement SPF et vérifie si l'adresse IP du serveur expéditeur correspond à l'un des mécanismes autorisés que vous avez listés. Si elle correspond, le message passe le contrôle SPF. Dans le cas contraire, le serveur destinataire applique la politique que vous avez spécifiée dans le mécanisme all à la fin de l'enregistrement -- généralement un soft fail ou un hard fail du message.

La difficulté réside dans la construction correcte de l'enregistrement. SPF possède une syntaxe spécifique, des limites strictes sur les résolutions DNS et des règles sur l'évaluation des mécanismes. Un include manquant signifie qu'un service légitime sera bloqué. Une faute de frappe dans une plage IP signifie que votre propre serveur de messagerie échoue à l'authentification. Ce générateur vous guide à travers chaque mécanisme de manière interactive, valide vos entrées et produit un enregistrement que vous pouvez copier directement dans votre configuration DNS.

Comment construire un enregistrement SPF

1. Commencez par le tag de version obligatoire v=spf1
2. Ajoutez les mécanismes ip4 ou ip6 pour les adresses IP de vos serveurs de messagerie
3. Ajoutez les mécanismes include pour les services e-mail tiers (Google Workspace, Microsoft 365, Mailchimp, etc.)
4. Ajoutez les mécanismes a ou mx si les enregistrements A ou MX de votre domaine pointent vers des serveurs d'envoi
5. Définissez le mécanisme all à la fin pour spécifier la politique par défaut pour les expéditeurs non autorisés
6. Vérifiez l'enregistrement généré concernant la longueur et les limites de résolutions DNS
7. Copiez l'enregistrement et publiez-le comme enregistrement DNS TXT sur votre domaine

Exemples d'enregistrements SPF

Qualificateurs des mécanismes SPF

Chaque mécanisme peut être préfixé par un qualificateur qui indique aux serveurs de réception comment interpréter une correspondance :

Le qualificateur -all offre la protection la plus stricte, demandant aux destinataires de rejeter les messages provenant de serveurs non listés. Utilisez ~all pendant le déploiement initial pour surveiller sans bloquer les e-mails légitimes.

Quand utiliser le générateur d'enregistrement SPF

• Mise en place de l'authentification e-mail pour un nouveau domaine pour la première fois
• Ajout d'un service e-mail tiers comme SendGrid, Amazon SES ou Postmark qui envoie en votre nom
• Consolidation de mécanismes SPF multiples provenant de différentes équipes ou départements en un seul enregistrement valide
• Dépannage de la délivrabilité e-mail lorsque les messages arrivent dans le spam à cause d'échecs SPF
• Migration de l'infrastructure e-mail et mise à jour des listes d'expéditeurs autorisés
• Renforcement de votre politique DMARC en vous assurant que SPF est correctement configuré avant de passer à p=reject

Fonctionnement des enregistrements SPF

Les enregistrements SPF sont publiés comme enregistrements DNS TXT à la racine de votre domaine. Lorsqu'un serveur de messagerie reçoit un e-mail se déclarant provenir de votre domaine, il interroge le DNS pour obtenir votre enregistrement SPF et vérifie si l'adresse IP du serveur expéditeur correspond à un mécanisme autorisé.

Ordre d'évaluation SPF

Le serveur de réception évalue les mécanismes de gauche à droite. Le premier mécanisme correspondant à l'IP expéditrice détermine le résultat. Si aucun mécanisme ne correspond, le qualificateur all à la fin fournit l'action par défaut.

Limites de résolutions DNS

L'évaluation SPF est limitée à 10 résolutions DNS selon la RFC 7208. Ces mécanismes consomment chacun une résolution : include, a, mx, ptr, exists et redirect. Les mécanismes IP littéraux (ip4, ip6) ne comptent pas. Les includes imbriqués comptent également dans cette limite -- si l'enregistrement SPF d'un domaine inclus contient 3 includes supplémentaires, cela ajoute 4 résolutions au total.

Valeurs d'include courantes pour les services tiers

Contraintes de longueur d'enregistrement

Une seule chaîne DNS TXT ne peut pas dépasser 255 caractères. Les enregistrements plus longs doivent être découpés en plusieurs chaînes entre guillemets au sein d'un même enregistrement TXT. Le générateur suit le nombre de caractères et avertit lorsque vous approchez de cette limite.

Configuration SPF en pratique

La décision la plus importante dans votre enregistrement SPF est le mécanisme all à la fin. De nombreux administrateurs le laissent à ~all (softfail) indéfiniment par crainte de bloquer des e-mails légitimes. Bien que ~all soit approprié pendant la période de déploiement initial, vous devriez prévoir de passer à -all (hard fail) une fois que vous avez confirmé que tous vos expéditeurs autorisés sont listés. Un softfail indique aux destinataires que le message est suspect mais ne leur demande pas de le rejeter, ce qui laisse une fenêtre aux usurpateurs pour abuser de votre domaine. Un hard fail donne aux destinataires un signal clair de rejeter les messages non autorisés, ce qui est l'objectif même du déploiement de SPF.

Le deuxième point de vigilance est le nombre de résolutions DNS. Chaque fois que vous ajoutez un nouvel outil SaaS qui envoie des e-mails -- une plateforme marketing, un helpdesk, un CRM, un service d'e-mails transactionnels -- vous ajoutez au moins un mécanisme include, et chaque include consomme une ou plusieurs résolutions DNS. Il est étonnamment facile d'atteindre la limite de 10 résolutions, surtout quand l'enregistrement SPF de chaque service contient lui-même des includes imbriqués. Google Workspace seul consomme 4 résolutions (1 directe plus 3 imbriquées). Ajoutez Microsoft 365, SendGrid et Mailchimp, et vous pourriez déjà être à 10. Lorsque vous dépassez la limite, SPF renvoie une erreur permanente et vos e-mails légitimes commencent à échouer à l'authentification.

Pour rester sous la limite, envisagez d'aplatir les includes en mécanismes ip4 et ip6 lorsque c'est possible. L'aplatissement remplace un include dynamique par les adresses IP statiques auxquelles il se résout actuellement, ce qui élimine la résolution DNS. Le compromis est la maintenance : si le fournisseur change ses plages IP, votre enregistrement aplati devient obsolète. Les services d'aplatissement SPF automatisent ce processus en ré-résolvant périodiquement les includes et en mettant à jour votre enregistrement. Utilisez le Vérificateur de longueur SPF pour auditer votre nombre de résolutions actuel avant d'effectuer des modifications.

Questions fréquentes

Peut-on avoir plusieurs enregistrements SPF sur un même domaine ?

Non. Un domaine doit avoir exactement un seul enregistrement SPF TXT. Plusieurs enregistrements SPF provoquent une permerror lors de l'évaluation, ce qui signifie généralement un échec total du SPF. Si vous devez autoriser de nombreux services, combinez tous les mécanismes dans un seul enregistrement. Si vous manquez d'espace ou de résolutions, utilisez l'aplatissement ou le mécanisme redirect pour pointer vers un domaine de politique SPF dédié.

Quelle est la différence entre -all et ~all ?

Le -all (hard fail) demande aux destinataires de rejeter les e-mails provenant de serveurs non autorisés. Le ~all (soft fail) indique aux destinataires que le message est suspect mais doit quand même être accepté, généralement avec un examen supplémentaire. Commencez avec ~all pendant la phase de test, puis passez à -all une fois que vous avez confirmé que tous les expéditeurs légitimes sont inclus.

Comment ajouter Google Workspace à un enregistrement SPF existant ?

Ajoutez include:_spf.google.com avant le mécanisme all dans votre enregistrement existant. Par exemple, si votre enregistrement actuel est v=spf1 ip4:203.0.113.5 -all, changez-le en v=spf1 ip4:203.0.113.5 include:_spf.google.com -all.

Que se passe-t-il si je dépasse la limite de 10 résolutions DNS ?

L'évaluation SPF renvoie une erreur permanente (permerror). La plupart des serveurs destinataires traitent cela comme un échec SPF, ce qui signifie que vos e-mails peuvent être marqués comme spam ou rejetés purement et simplement -- surtout si vous avez également une politique DMARC stricte. Utilisez le Vérificateur de longueur SPF pour auditer votre nombre de résolutions.

Dois-je utiliser le mécanisme a ou mx ?

Le mécanisme a autorise l'adresse IP vers laquelle pointe l'enregistrement A de votre domaine. Le mécanisme mx autorise les adresses IP de vos enregistrements MX. Les deux consomment chacun une résolution DNS. Si les mêmes IP sont déjà couvertes par des mécanismes ip4, évitez a et mx pour économiser des résolutions. Ils sont surtout utiles lorsque l'IP de votre serveur d'envoi change fréquemment et est toujours reflétée dans vos enregistrements A ou MX.

Comment SPF s'articule-t-il avec DKIM et DMARC ?

SPF, DKIM et DMARC fonctionnent ensemble comme un système d'authentification e-mail en couches. SPF vérifie si le serveur d'envoi est autorisé. DKIM vérifie que le contenu du message n'a pas été altéré grâce à une signature cryptographique. DMARC les relie en définissant une politique pour les messages qui échouent aux deux vérifications et en exigeant l'alignement des domaines. Vous avez besoin des trois pour une authentification e-mail robuste.

Outils associés

• Vérificateur de longueur SPF - Vérifier la longueur de l'enregistrement SPF et les limites de résolutions
• Formateur d'enregistrement DKIM TXT - Formater les enregistrements DKIM avec un échappement correct
• Générateur d'enregistrement DMARC - Construire des enregistrements DMARC avec tous les tags de politique
• Dédoublonneur d'enregistrements DNS - Trouver et supprimer les enregistrements DNS en double
• Linter de fichier de zone - Vérifier les fichiers de zone pour les erreurs de syntaxe et les doublons