Qu'est-ce qu'un enregistrement SPF ?
Le SPF (Sender Policy Framework) indique aux serveurs de messagerie destinataires quels hôtes sont autorisés à envoyer des e-mails au nom de votre domaine. Un enregistrement SPF défaillant — dupliqué, comportant trop de requêtes DNS ou dépourvu d'un mécanisme « all » — fait basculer les e-mails légitimes dans les spams. IPeek localise votre enregistrement SPF, analyse chaque mécanisme et signale les problèmes qui nuisent à la délivrabilité.
Comment fonctionne un enregistrement SPF
Le SPF se publie sous la forme d'un enregistrement TXT sur votre domaine racine, commençant par v=spf1. Lorsqu'un serveur reçoit un e-mail prétendument envoyé par vous, il interroge cet enregistrement et vérifie si l'IP d'envoi est autorisée. Un enregistrement tel que v=spf1 include:_spf.google.com ip4:198.51.100.10 -all signifie « autoriser les hôtes de Google et cette seule IP, rejeter tout le reste ». Les mécanismes sont évalués de gauche à droite ; la première correspondance l'emporte. Le mécanisme all en fin de chaîne est le « attrape-tout » qui décide du résultat par défaut pour tout hôte non explicitement listé.
Hardfail, softfail et la limite des 10 requêtes
Le mécanisme all définit votre politique : -all est un hardfail (rejet des expéditeurs non listés), ~all est un softfail (acceptation, mais marquage comme suspect) et +all autorise n'importe qui — à ne jamais utiliser. Le SPF plafonne également les mécanismes générant des requêtes DNS (include, a, mx, ptr, exists, redirect) à 10 requêtes au total ; au-delà, le résultat est un permerror, traité comme un échec. Les include imbriqués comptent eux aussi, si bien qu'ajouter plusieurs prestataires épuise discrètement le quota. IPeek comptabilise chaque requête et vous avertit avant que vous n'atteigniez le plafond.
Comment le SPF s'articule avec DKIM et DMARC
Le SPF ne suffit pas à lui seul. Il authentifie l'expéditeur d'enveloppe (le return-path), et non l'adresse From visible par les utilisateurs : un usurpateur peut donc passer le SPF tout en falsifiant votre marque. DMARC comble cette faille en exigeant l'alignement entre le domaine SPF et le domaine From, et en associant le SPF à DKIM afin que l'un ou l'autre puisse authentifier un message. Considérez le SPF comme l'une des trois couches : le SPF autorise les hôtes, DKIM signe le contenu, et DMARC les relie à votre domaine From et applique la politique.