Corriger votre enregistrement SPF

Un constat SPF dans une analyse de sécurité signifie généralement que votre enregistrement SPF est absent, mal configuré, ou ne couvre pas tous les services qui envoient des e-mails en votre nom. Voici ce que cela signifie et comment le corriger.

Ce que signifie ce constat

SPF (Sender Policy Framework) est un enregistrement DNS TXT qui liste les adresses IP et les serveurs de messagerie autorisés à envoyer des e-mails depuis votre domaine. Lorsqu'un serveur destinataire reçoit un e-mail se présentant comme venant de votre domaine, il consulte votre enregistrement SPF pour vérifier si le serveur d'envoi figure sur la liste approuvée.

Constats fréquents :

• Aucun enregistrement SPF : n'importe quel serveur peut envoyer des e-mails au nom de votre domaine
• SPF utilise ~all (softfail) : les expéditeurs non authentifiés sont signalés mais pas bloqués
• SPF ne couvre pas tous les serveurs de messagerie : un service qui envoie des e-mails en votre nom n'y figure pas
• SPF contient trop de requêtes DNS : SPF est limité à 10 requêtes DNS ; au-delà, la validation échoue

Pourquoi c'est important

Sans enregistrement SPF correctement configuré, les spammeurs et les auteurs d'hameçonnage peuvent envoyer des e-mails qui semblent venir de votre domaine. SPF est aussi l'un des deux mécanismes d'authentification (avec DKIM) que DMARC utilise pour décider de l'application de sa politique.

Comment corriger, étape par étape

Étape 1 : vérifier votre enregistrement SPF actuel

Votre enregistrement SPF est un enregistrement TXT situé sur votre domaine racine. Il ressemble à ceci :

v=spf1 include:spf.protection.outlook.com ~all

Étape 2 : identifier tous les services qui envoient des e-mails depuis votre domaine

Les plus courants sont : Microsoft 365, Google Workspace, Mailchimp, Salesforce, HubSpot, SendGrid, Zendesk, votre hébergeur web. Chacun nécessite une entrée include: dans votre enregistrement SPF.

Étape 3 : construire votre enregistrement SPF mis à jour

v=spf1 include:spf.protection.outlook.com include:sendgrid.net -all

• v=spf1 : ouverture obligatoire
• include: : ajoute les plages d'envoi d'un fournisseur tiers
• ip4: : ajoute directement une adresse IP précise
• -all : échec strict (hard fail), qui rejette les e-mails provenant de sources non listées (recommandé)
• ~all : échec souple (soft fail), qui signale mais livre l'e-mail (moins protecteur)

Étape 4 : mettre à jour l'enregistrement DNS TXT

Connectez-vous chez votre fournisseur DNS et mettez à jour l'enregistrement TXT de votre domaine racine. Il doit exister exactement un enregistrement SPF : plusieurs enregistrements SPF font échouer la validation.

Valeurs SPF include courantes par fournisseur de messagerie

La limite de 10 requêtes DNS

SPF autorise au maximum 10 requêtes DNS lors de son évaluation. Si votre enregistrement dépasse cette limite (ce qui est fréquent avec de nombreux expéditeurs tiers), la validation échoue. Si c'est votre cas, envisagez un service d'aplatissement SPF (SPF flattening) ou réduisez le nombre de vos fournisseurs d'envoi.

Vérifier que cela fonctionne

Analysez votre domaine sur mydomainrisk.com : le constat SPF passera au statut réussi dès que votre enregistrement sera correctement configuré.