Vérificateur de longueur d’enregistrement SPF

Le Vérificateur de longueur d'enregistrement SPF valide votre enregistrement SPF par rapport aux deux limites critiques définies dans la RFC 7208 : la limite de 255 caractères par chaîne TXT et la limite de 10 résolutions DNS. Collez un enregistrement comme v=spf1 include:_spf.google.com include:spf.protection.outlook.com -all et visualisez instantanément le nombre de caractères, le détail des résolutions et la conformité aux seuils autorisés.

Comprendre les limites SPF

Les enregistrements SPF ont deux limites strictes qui, lorsqu'elles sont dépassées, provoquent silencieusement l'échec de l'authentification e-mail. Le problème est que vous pouvez publier un enregistrement SPF parfaitement valide en apparence, ajouter un include supplémentaire pour une nouvelle plateforme marketing, et soudainement vos e-mails légitimes commencent à échouer à l'authentification -- sans message d'erreur évident dans votre boîte de réception. Les échecs n'apparaissent que dans les rapports agrégés DMARC ou lorsque les destinataires se plaignent que vos messages arrivent dans le spam.

La première limite est le plafond de 10 résolutions DNS. Chaque fois que l'évaluation SPF rencontre un mécanisme nécessitant une requête DNS -- include, a, mx, ptr, exists ou redirect -- cela compte dans cette limite. Le détail critique qui piège la plupart des administrateurs est que le comptage est cumulatif à travers les enregistrements imbriqués. Quand vous écrivez include:_spf.google.com, c'est 1 résolution pour l'include lui-même, mais l'enregistrement SPF de Google contient 3 includes supplémentaires, ajoutant 3 résolutions de plus. Une seule ligne dans votre enregistrement vous coûte 4 résolutions sur vos 10. Ajoutez quelques services supplémentaires et vous dépassez la limite sans vous en rendre compte.

La seconde limite est la frontière de 255 caractères par chaîne pour les enregistrements DNS TXT. Elle est moins souvent atteinte car la plupart des fournisseurs DNS gèrent automatiquement le découpage des chaînes, mais elle peut poser des problèmes avec certains fournisseurs ou lors de l'édition manuelle de fichiers de zone. Ce vérificateur valide les deux contraintes et vous montre exactement où vous en êtes.

Comment vérifier la longueur et le nombre de résolutions d'un enregistrement SPF

1. Collez votre enregistrement SPF complet commençant par v=spf1
2. Le vérificateur compte le nombre total de caractères et indique si un formatage multi-chaînes est nécessaire
3. Chaque mécanisme nécessitant une requête DNS est compté : include, a, mx, ptr, exists, redirect
4. Les mécanismes basés sur des IP (ip4, ip6) sont identifiés comme ne comptant pas
5. Consultez le détail montrant quels mécanismes consomment des résolutions DNS
6. Corrigez les avertissements concernant les seuils dépassés ou proches de la limite

Exemples de comptage de résolutions SPF

Mécanismes comptés comme résolutions DNS

include:  -> 1 résolution (plus les résolutions imbriquées de l'enregistrement inclus)
a         -> 1 résolution
mx        -> 1 résolution
ptr       -> 1 résolution (obsolète, à éviter)
exists:   -> 1 résolution
redirect= -> 1 résolution

Mécanismes qui ne comptent PAS

ip4:203.0.113.0/24  -> 0 résolution
ip6:2001:db8::/32   -> 0 résolution
all                 -> 0 résolution

Quand utiliser le vérificateur de longueur SPF

• Après l'ajout d'un nouveau service e-mail pour vérifier que vous n'avez pas dépassé la limite de 10 résolutions
• Débogage des erreurs "too many DNS lookups" dans les rapports d'authentification e-mail (rapports agrégés DMARC)
• Audit d'une configuration SPF complexe héritée d'un administrateur précédent pour évaluer l'état actuel
• Avant le déploiement de modifications SPF en production pour prévenir des échecs de livraison involontaires
• Optimisation des enregistrements SPF en identifiant quels includes contribuent le plus en résolutions imbriquées
• Pendant le déploiement DMARC pour s'assurer que SPF est sain avant de renforcer votre politique DMARC

Fonctionnement des limites de résolution SPF

La règle des 10 résolutions

La RFC 7208 limite l'évaluation SPF à 10 mécanismes DNS pour prévenir les attaques par déni de service via des requêtes DNS récursives. Lorsque la limite est dépassée, la vérification SPF renvoie une erreur permanente (permerror), que la plupart des serveurs de réception interprètent comme un échec SPF.

Les résolutions imbriquées sont cumulatives

La limite de 10 résolutions inclut toutes les résolutions imbriquées. Considérez cette chaîne :

Votre enregistrement :     v=spf1 include:_spf.google.com include:spf.example.com -all
                           -> 2 résolutions directes

_spf.google.com:           v=spf1 include:_netblocks.google.com include:_netblocks2.google.com include:_netblocks3.google.com ~all
                           -> 3 résolutions supplémentaires

Total :                    2 + 3 = 5 résolutions (avant la résolution de spf.example.com)

Chaque include dans l'enregistrement de Google compte dans le total de votre domaine. Si spf.example.com ajoute 6 résolutions supplémentaires, vous atteindriez 11 et déclencheriez une permerror.

Coût typique en résolutions par service

Ces comptages peuvent changer lorsque les fournisseurs mettent à jour leur infrastructure. Vérifiez toujours les comptages actuels avec ce vérificateur.

La limite de 255 caractères par chaîne

Les enregistrements DNS TXT stockent les données dans des chaînes de 255 caractères maximum chacune. Un seul enregistrement TXT peut contenir plusieurs chaînes qui sont concaténées lors de la récupération. Si votre enregistrement SPF dépasse 255 caractères, il doit être découpé :

"v=spf1 ip4:192.0.2.0/24 ip4:198.51.100.0/24 "
"include:_spf.google.com include:spf.protection.outlook.com -all"

La plupart des fournisseurs DNS gèrent ce découpage automatiquement, mais certains nécessitent un formatage manuel.

Comment réduire le nombre de résolutions SPF

Lorsque vous êtes à la limite ou proche des 10 résolutions, plusieurs stratégies permettent de réduire le comptage. L'approche la plus efficace est l'aplatissement SPF, qui consiste à remplacer les mécanismes include par les adresses ip4 et ip6 auxquelles ils se résolvent. Par exemple, si include:mail.example.com se résout à une seule IP, vous pouvez le remplacer par ip4:203.0.113.5, économisant ainsi une résolution. L'inconvénient est que si le fournisseur change ses adresses IP, votre enregistrement devient obsolète et les e-mails légitimes échoueront au contrôle SPF. Les services d'aplatissement automatisés résolvent ce problème en vérifiant et en mettant à jour périodiquement votre enregistrement.

Une autre optimisation courante consiste à supprimer les mécanismes dont vous n'avez plus besoin. Au fil du temps, les organisations accumulent des includes pour des services qu'elles n'utilisent plus -- une ancienne plateforme marketing, un helpdesk décommissionné, un fournisseur d'e-mails transactionnels legacy. Auditez vos includes par rapport aux services qui envoient réellement des e-mails aujourd'hui et supprimez ceux qui ne sont plus actifs.

• Remplacer les include par des ip4/ip6 : aplatir les domaines inclus en leurs plages IP réelles (nécessite une maintenance lorsque les fournisseurs changent d'IP)
• Supprimer les services inutilisés : auditer quels services envoient encore activement des e-mails pour votre domaine
• Supprimer les mécanismes ptr : ils sont obsolètes selon la RFC 7208 et gaspillent une résolution
• Utiliser des services d'aplatissement SPF : des outils automatisés qui résolvent les includes en IP et les maintiennent à jour
• Supprimer les a et mx redondants : si ces IP sont déjà couvertes par des mécanismes ip4
• Utiliser un domaine de politique SPF dédié : déplacez la logique SPF complexe vers un sous-domaine avec redirect=

Questions fréquentes

Que se passe-t-il lorsque vous dépassez la limite de 10 résolutions DNS ?

La vérification SPF renvoie une erreur permanente (permerror). La plupart des serveurs de messagerie de réception traitent cela comme un échec SPF. Combiné à une politique DMARC stricte, cela peut entraîner la mise en quarantaine ou le rejet pur et simple des e-mails légitimes. L'aspect dangereux est qu'il n'y a pas d'erreur immédiate visible -- l'échec n'apparaît que dans les rapports DMARC ou lorsque les destinataires vous signalent que vos e-mails arrivent dans le spam.

Les mécanismes ip4 et ip6 comptent-ils dans la limite de résolutions ?

Non. Seuls les mécanismes nécessitant une requête DNS comptent : include, a, mx, ptr, exists et redirect. Les mécanismes d'adresse IP littérale (ip4, ip6) sont évalués localement et ne consomment aucune résolution. C'est pourquoi l'aplatissement des includes en adresses IP est une optimisation efficace.

Comment savoir combien de résolutions Google Workspace ou Microsoft 365 utilisent ?

Le _spf.google.com de Google se résout actuellement en 3 includes imbriqués, consommant 4 résolutions au total (1 pour l'include lui-même plus 3 imbriqués). Le spf.protection.outlook.com de Microsoft utilise généralement 2 résolutions au total. Ces comptages peuvent changer lorsque les fournisseurs mettent à jour leur infrastructure, vérifiez-les donc périodiquement avec cet outil.

Peut-on avoir plus de 10 résolutions en les répartissant sur des sous-domaines ?

Chaque enregistrement SPF de domaine dispose de sa propre limite de 10 résolutions. Si votre domaine principal est à la limite, vous ne pouvez pas l'augmenter en le divisant. Cependant, si différents sous-domaines envoient des e-mails de manière indépendante, le SPF de chaque sous-domaine est évalué séparément avec sa propre limite. Le mécanisme redirect= peut pointer vers un domaine de politique dédié, mais les résolutions de l'enregistrement redirigé comptent toujours dans la limite de 10 de l'évaluation originale.

Pourquoi mon enregistrement SPF fonctionne-t-il pour certains destinataires mais pas pour d'autres ?

Différents serveurs de réception peuvent gérer la limite de résolutions différemment. Certains serveurs arrêtent l'évaluation à exactement 10 résolutions, tandis que d'autres peuvent en autoriser 11 ou 12 avant de renvoyer une permerror. Si votre enregistrement est exactement à la frontière, il peut passer sur certains serveurs et échouer sur d'autres, entraînant une livraison incohérente.

Outils associés

• Générateur d'enregistrement SPF - Construire des enregistrements SPF avec une syntaxe correcte
• Formateur d'enregistrement DKIM TXT - Formater les enregistrements DKIM avec un échappement correct
• Générateur d'enregistrement DMARC - Construire des enregistrements DMARC avec tous les tags de politique
• Dédoublonneur d'enregistrements DNS - Trouver et supprimer les enregistrements DNS en double
• Linter de fichier de zone - Vérifier les fichiers de zone pour les erreurs de syntaxe et les doublons