netlupaVérifier l'enregistrement SPF d'un domaine
Le SPF indique quels serveurs peuvent envoyer des e-mails pour ton domaine. Saisis-le pour vérifier sa syntaxe et le nombre de requêtes DNS qu'il consomme.
Comment lire un enregistrement SPF
Un SPF est un enregistrement TXT qui commence par « v=spf1 » suivi d'une liste de mécanismes évalués de gauche à droite. Par exemple :
- v=spf1 include:_spf.google.com ip4:203.0.113.10 -all
Cela signifie : autoriser les serveurs de Google et l'IP 203.0.113.10, et rejeter tout le reste. Chaque mécanisme peut être précédé d'un qualificatif : + (autoriser, par défaut), - (rejeter), ~ (échec léger) ou ? (neutre).
La limite la plus importante est celle des 10 requêtes DNS : include, a, mx, ptr, exists et redirect en consomment une chacun, y compris ceux à l'intérieur des include. Au-delà, le SPF échoue et c'est comme ne pas en avoir. L'outil les compte toutes pour toi.
Chaque enregistrement en détail
Questions fréquentes
Comment ajouter un nouveau fournisseur à mon SPF ?
Ajoute son include à ton enregistrement existant, avant le « all » final, par exemple : v=spf1 include:_spf.google.com include:sendgrid.net ~all. Ne crée pas un second enregistrement SPF : avec deux, il échoue.
Que faire si je dépasse 10 requêtes ?
Retire les include des services que tu n'utilises plus, remplace ce que tu peux par leurs blocs ip4/ip6 ou utilise un sous-domaine distinct avec son propre SPF pour les envois en masse.
Quel est mon sélecteur DKIM ?
Ouvre un e-mail que tu as envoyé, affiche son code source ou ses en-têtes d'origine et cherche DKIM-Signature : la valeur de « s= » est le sélecteur et celle de « d= » le domaine. Google Workspace utilise souvent « google » et Microsoft 365 « selector1 » et « selector2 ».
Vaut-il mieux « ~all » ou « -all » ?
Avec DMARC en place, la différence pratique est faible, car c'est la politique DMARC qui décide. « -all » est plus strict ; « ~all » est plus tolérant avec les transferts et les services oubliés. Sans DMARC, « -all » protège davantage.
J'ai modifié le DNS et l'outil ne le voit pas, pourquoi ?
Les enregistrements DNS restent en cache pendant la durée de leur TTL (souvent une heure). Attends ce délai et revérifie. Vérifie aussi que l'enregistrement est sur le bon nom (par exemple _dmarc.tondomaine.fr pour DMARC).
Faut-il SPF et DMARC sur un domaine qui n'envoie pas d'e-mails ?
Oui, c'est très recommandé : publie « v=spf1 -all » et « v=DMARC1; p=reject; » pour que personne ne puisse utiliser ce domaine afin d'envoyer de faux e-mails.
Conservez-vous les domaines que je vérifie ?
Non. Nous interrogeons le DNS public au moment même, avec notre propre résolveur, et nous ne conservons ni le domaine ni le résultat.