Générateur d’enregistrement SPF
Créez un enregistrement SPF TXT valide pour votre domaine. Ajoutez des adresses IP, des serveurs de messagerie et des expéditeurs tiers — obtenez la valeur DNS exacte à publier.
Générez votre enregistrement SPF
Ajoutez des adresses IPv4 ou IPv6 autorisées à envoyer du courrier pour ce domaine.
Ajoutez des services d’envoi tiers comme Google Workspace ou SendGrid.
Qu’est-ce qu’un enregistrement SPF et pourquoi est-ce important ?
Un enregistrement SPF (Sender Policy Framework) est un enregistrement DNS TXT qui indique quels serveurs de messagerie sont autorisés à envoyer des e-mails pour votre domaine. Lorsqu’un serveur destinataire reçoit un message prétendant provenir de votre domaine, il interroge votre enregistrement SPF pour vérifier que l’IP d’envoi est listée. Si l’IP n’est pas autorisée, le message peut être rejeté ou marqué comme spam.
SPF est l’un des trois standards fondamentaux d’authentification e-mail, avec DKIM et DMARC. Sans lui, n’importe qui peut usurper votre domaine dans le champ envelope sender, faisant de votre domaine une cible de phishing et de spoofing. La plupart des fournisseurs de boîtes aux lettres modernes et des passerelles d’entreprise vérifient SPF avant d’accepter le courrier.
Comprendre la syntaxe d’un enregistrement SPF
Chaque enregistrement SPF commence par v=spf1, qui déclare la version. Ensuite, vous ajoutez des mécanismes listant les expéditeurs autorisés. L’enregistrement se termine par un qualificateur appelé mécanisme all.
- ip4:x.x.x.x — autorise une seule adresse IPv4
- ip4:x.x.x.x/24 — autorise une plage CIDR IPv4
- ip6:::1 — autorise une adresse IPv6
- include:domain.com — importe l’enregistrement SPF d’un autre domaine (pour les expéditeurs tiers)
- a — autorise l’IP de l’enregistrement A du domaine
- mx — autorise les IP de l’enregistrement MX du domaine
Les qualificateurs de politique SPF expliqués
Le qualificateur à la fin de votre enregistrement SPF contrôle ce que font les serveurs destinataires avec le courrier d’expéditeurs non autorisés.
| Qualificateur | Comportement |
|---|---|
| +all | Tous les expéditeurs passent. Ne l’utilisez jamais — cela annule totalement SPF. |
| ~all | Softfail — le courrier non autorisé est accepté mais signalé. À utiliser en test. |
| -all | Hard fail — le courrier non autorisé est rejeté. À utiliser en production. |
| ?all | Neutral — aucune politique déclarée. Rarement utile. |
Directives include SPF courantes
Si vous utilisez des services e-mail tiers, vous devez ajouter leurs domaines d’envoi autorisés via des directives include:. Voici les plus utilisées :
- Google Workspace: include:_spf.google.com
- Microsoft 365: include:spf.protection.outlook.com
- Mailchimp: include:servers.mcsv.net
- SendGrid: include:sendgrid.net
- Mailgun: include:mailgun.org
Limites de requêtes SPF et comment rester en dessous
SPF impose une limite stricte de 10 requêtes DNS pendant l’évaluation. Chaque mécanisme include:, a et mx compte comme une requête. De nombreux enregistrements SPF tiers déclenchent eux-mêmes des requêtes internes supplémentaires. Si votre enregistrement dépasse 10 requêtes au total, l’évaluation SPF renvoie PermError, traité comme un échec. Pour rester sous la limite, utilisez des adresses IP directes autant que possible et évitez les chaînes d’includes imbriqués.
SPF fonctionne mieux avec DKIM et DMARC
SPF seul protège l’envelope sender (Return-Path), pas l’adresse From visible. Pour une protection complète contre le spoofing, vous avez aussi besoin de DKIM pour signer vos messages et de DMARC pour aligner les résultats d’authentification avec l’en-tête From. Ensemble, ces trois standards forment la base d’authentification e-mail attendue par Gmail, Outlook et Yahoo Mail.
Après avoir configuré SPF, assurez-vous aussi que vos listes sont propres. La vérification d’e-mail supprime les adresses invalides et à risque avant l’envoi, ce qui maintient un faible taux de rebond et protège la réputation d’expéditeur construite avec une authentification correcte. Vous pouvez aussi vérifier des adresses en masse via la vérification d’e-mail en masse ou intégrer la vérification dans votre stack via l’ API de validation d’e-mail.
Questions fréquentes
1. Que signifie SPF et pourquoi est-ce important ?
SPF signifie Sender Policy Framework. C’est une méthode d’authentification e-mail basée sur le DNS qui permet aux propriétaires de domaine de spécifier quels serveurs de messagerie peuvent envoyer en leur nom. Sans SPF, n’importe quel serveur peut prétendre envoyer du courrier depuis votre domaine, rendant le phishing trivial. Les FAI et filtres antispam utilisent les résultats SPF comme signal de confiance principal pour décider de livrer votre e-mail.
2. Comment publier un enregistrement SPF ?
Générez votre enregistrement SPF avec cet outil, connectez-vous à votre fournisseur DNS et ajoutez un enregistrement TXT à la racine du domaine (souvent @ ou le domaine nu) avec la valeur générée. Les changements se propagent en général en 30 minutes, mais peuvent prendre jusqu’à 48 heures à l’échelle mondiale.
3. Quelle est la différence entre ~all et -all ?
~all (softfail) indique aux serveurs destinataires que les e-mails d’IP non listées sont suspects mais doivent encore être acceptés. -all (hardfail) demande de rejeter ou de pénaliser fortement les expéditeurs non listés. Utilisez ~all lors de la première configuration SPF, puis passez à -all une fois sûr que tous vos services d’envoi sont listés.
4. Puis-je avoir plusieurs enregistrements SPF sur un domaine ?
Non. Un domaine doit avoir exactement un enregistrement SPF. Si deux enregistrements TXT commençant par v=spf1 existent sur le même domaine, l’évaluation SPF aboutit à une erreur permanente et tout le courrier échoue au contrôle SPF. Combinez tous vos mécanismes en un seul enregistrement.
5. Combien de requêtes DNS un enregistrement SPF autorise-t-il ?
SPF limite le nombre total de mécanismes interrogeant le DNS (include, a, mx, ptr, exists) à 10 par évaluation. Dépasser cette limite entraîne un permerror. Comptez soigneusement vos includes — de nombreux fournisseurs enchaînent des includes imbriqués qui comptent chacun dans la limite.
6. SPF seul empêche-t-il le spoofing d’e-mail ?
SPF n’authentifie que l’adresse envelope-from (MAIL FROM), pas l’en-tête From visible pour les destinataires. Les attaquants peuvent encore usurper l’en-tête From même si SPF passe. Pour empêcher pleinement le spoofing de domaine visible dans la boîte de réception, vous avez besoin d’une politique DMARC alignée avec SPF et DKIM.
Explorer plus de fonctionnalités
Découvrez toutes les fonctionnalités puissantes qu'offre BillionVerify
Vérifiez et nettoyez votre liste d’e-mails
De bons enregistrements d’authentification protègent votre domaine. BillionVerify maintient votre liste en bonne santé avec une vérification d’e-mail précise à 99,9 %.
100 vérifications gratuites par jour · Précision SMTP de 99,9 % · Accès API instantané · Sans carte bancaire