SPF est l’enregistrement DNS qui liste les serveurs autorisés à envoyer des e-mails pour un domaine. Lorsqu’il est absent, en double ou ouvert à tous, les e-mails du domaine sont plus faciles à usurper et plus susceptibles d’être rejetés ou de finir en spam.
Ce que cela signifie
Les serveurs de messagerie destinataires consultent l’enregistrement SPF pour déterminer si un message prétendant venir de votre domaine a été envoyé par un serveur que vous autorisez. Un domaine ne peut avoir qu’un seul enregistrement SPF, et celui-ci doit se terminer en signalant (~all) ou en refusant (-all) tous les autres serveurs.
Ce qui le déclenche
Une fois par jour, la vérification DNS et sécurité des e-mails lit les enregistrements TXT du domaine enregistré via le DNS public et examine ceux qui commencent par v=spf1. Elle signale l’une des trois versions de ce problème :
- Plus d’un enregistrement SPF (Élevée) : les serveurs destinataires considèrent alors le SPF du domaine comme défaillant. Les propriétaires et administrateurs sont alertés une fois par e-mail et par messagerie.
- L’enregistrement SPF permet à n’importe qui d’envoyer des e-mails (Élevée) : l’enregistrement se termine par +all, ce qui autorise tous les serveurs d’Internet. Les propriétaires et administrateurs sont alertés une fois par e-mail et par messagerie.
- Aucun enregistrement SPF (Moyenne) : signalé uniquement lorsque le domaine a des enregistrements MX, c’est-à-dire qu’il reçoit des e-mails. Il s’affiche dans l’application et n’est pas envoyé par e-mail.
Causes fréquentes
- Un service de newsletter, de CRM ou de helpdesk a été configuré avec son propre enregistrement v=spf1 au lieu d’être ajouté à l’enregistrement existant.
- Un enregistrement se terminant par +all a été copié depuis un modèle ou ajouté pour mettre fin à des échecs de distribution.
- La messagerie a été déplacée vers un nouveau fournisseur sans publier l’enregistrement SPF qu’il demandait.
Comment le corriger
- Listez tous les services qui envoient des e-mails au nom du domaine : votre fournisseur de messagerie, votre outil de newsletter, votre site, votre helpdesk et votre logiciel de facturation. Le guide de configuration de chacun indique l’include à utiliser.
- Chez votre fournisseur DNS, conservez un seul enregistrement TXT commençant par v=spf1 qui les inclut tous, par exemple v=spf1 include:_spf.google.com include:sendgrid.net ~all, et supprimez les autres.
- Terminez-le par ~all ou -all, jamais par +all, et limitez-le à 10 recherches DNS au maximum (chaque include compte), sinon les serveurs destinataires le considèrent quand même comme en échec.
- Une fois SPF correct, ajoutez aussi un enregistrement DMARC. Voir Aucun enregistrement DMARC.
Quand il disparaît
Le problème disparaît après la prochaine vérification quotidienne qui ne le détecte plus, et son action quitte le plan d’action 7 jours plus tard.
Si vous marquez l’action comme terminée et que le problème est toujours détecté 14 jours plus tard, elle revient avec la mention « La correction n’a pas fonctionné ». Voir Utiliser le plan d’action.