SPF Sender Policy Framework

Protégez votre domaine contre l'usurpation d'identité email.

SPF (Sender Policy Framework) est un mécanisme d'authentification email qui permet de spécifier quels serveurs sont autorisés à envoyer des emails pour votre domaine. Sans SPF, n'importe qui peut envoyer des emails en prétendant être vous - c'est le principe du spoofing email utilisé dans les attaques de phishing.

Quand un serveur de messagerie reçoit un email prétendument de votre domaine, il consulte votre enregistrement SPF dans le DNS. Si le serveur expéditeur n'est pas dans la liste autorisée, l'email est marqué comme suspect ou rejeté selon la politique SPF définie.

Un SPF correctement configuré améliore considérablement la délivrabilité de vos emails légitimes tout en protégeant votre réputation de domaine contre les usurpateurs. C'est la première brique de l'authentification email, complétée par DKIM et DMARC.

Comment Fonctionne SPF

SPF définit une politique d'autorisation pour l'envoi d'emails :

Enregistrement TXT : SPF est publié comme un enregistrement TXT DNS commençant par v=spf1. Il liste les serveurs et IP autorisés à envoyer pour le domaine.
Mécanismes : SPF utilise des mécanismes comme ip4:, include:, a:, mx: pour définir les sources autorisées. Chaque mécanisme peut avoir un qualificateur (+, -, ~, ?).
Évaluation séquentielle : Les mécanismes sont évalués de gauche à droite. Le premier qui correspond détermine le résultat (pass, fail, softfail, neutral).
Politique finale : L'enregistrement se termine par all avec un qualificateur : -all (hard fail), ~all (soft fail), ou ?all (neutral). -all est recommandé.

Pourquoi SPF est Essentiel

SPF protège votre domaine et améliore la délivrabilité :

Anti-spoofing : Empêche les attaquants d'envoyer des emails frauduleux semblant provenir de votre domaine. Protège vos clients et partenaires.
Délivrabilité : Les emails de domaines avec SPF valide ont de meilleures chances d'atteindre la boîte de réception plutôt que le spam.
Réputation : Un domaine sans SPF est suspect. Les fournisseurs email pénalisent les domaines qui ne protègent pas contre le spoofing.
Conformité : De nombreuses politiques de sécurité et réglementations exigent SPF comme mesure de protection email minimale.

Comment Configurer SPF

Suivez ces étapes pour créer votre enregistrement SPF :

Inventorier les sources : Listez tous les serveurs et services qui envoient des emails pour votre domaine : serveur email principal, Gmail/O365, services marketing, etc.
Construire l'enregistrement : Commencez par v=spf1, ajoutez les mécanismes pour chaque source (include:, ip4:, etc.), et terminez par -all ou ~all.
Publier dans le DNS : Créez un enregistrement TXT pour votre domaine racine (@) avec la valeur SPF complète.
Tester et valider : Utilisez des outils comme MXToolbox SPF checker pour valider la syntaxe et testez l'envoi d'emails.

Exemples de Configuration SPF

Voici des exemples SPF courants :

; SPF basique - serveur propre uniquement
example.com. IN TXT "v=spf1 ip4:192.0.2.1 -all"

; SPF avec Gmail/Google Workspace
example.com. IN TXT "v=spf1 include:_spf.google.com -all"

; SPF avec Microsoft 365
example.com. IN TXT "v=spf1 include:spf.protection.outlook.com -all"

; SPF multi-sources (Gmail + Mailchimp + serveur propre)
example.com. IN TXT "v=spf1 include:_spf.google.com include:servers.mcsv.net ip4:192.0.2.1 -all"

; Vérification SPF
$ dig example.com TXT +short | grep spf
"v=spf1 include:_spf.google.com -all"

; Test avec nslookup
$ nslookup -type=txt example.com

v=spf1 est obligatoire en début. include: délègue la vérification à un autre domaine. ip4:/ip6: autorise des adresses spécifiques. -all rejette tout le reste (recommandé).

Bonnes Pratiques SPF

Optimisez votre configuration SPF :

Utilisez -all : Terminez toujours par -all (hard fail) plutôt que ~all. Cela indique une politique stricte et améliore la protection.
Limitez les lookups : SPF a une limite de 10 DNS lookups. Chaque include: compte. Consolidez si nécessaire pour rester sous la limite.
Surveillez avec MoniTao : Surveillez votre enregistrement SPF pour détecter les modifications non autorisées qui pourraient faciliter le spoofing.
Complétez avec DKIM/DMARC : SPF seul ne suffit pas. Ajoutez DKIM pour la signature cryptographique et DMARC pour la politique d'application.

Checklist SPF

Toutes les sources d'envoi email inventoriées
Enregistrement SPF créé avec v=spf1
Terminé par -all (hard fail)
Moins de 10 DNS lookups
Syntaxe validée avec un outil
Monitoring SPF activé

Questions Fréquentes - SPF

Quelle différence entre -all, ~all et ?all ?

-all = hard fail (rejeter), ~all = soft fail (marquer suspect), ?all = neutral (ignorer SPF). Utilisez -all pour une protection maximale une fois que vous êtes sûr que toutes vos sources sont listées.

Que signifie "too many DNS lookups" ?

SPF limite à 10 résolutions DNS (include:, a:, mx:). Au-delà, SPF échoue avec "permerror". Réduisez les includes ou utilisez ip4:/ip6: directement.

Puis-je avoir plusieurs enregistrements SPF ?

Non ! Un domaine ne doit avoir qu'un seul enregistrement SPF. Plusieurs SPF causent une erreur "permerror". Consolidez tout dans un seul enregistrement.

SPF protège-t-il contre le phishing ?

SPF aide mais ne suffit pas. Il vérifie l'enveloppe SMTP (envelope from), pas le header From visible par l'utilisateur. DMARC aligne les deux pour une protection complète.

Mon email passe en spam malgré SPF valide, pourquoi ?

SPF n'est qu'un facteur. Le contenu de l'email, la réputation IP, DKIM/DMARC, l'historique d'envoi influencent aussi. Vérifiez les headers pour le diagnostic.

Dois-je inclure les IP de mes fournisseurs cloud ?

Utilisez include: vers leur domaine SPF plutôt que les IP directement. Ainsi, si leurs IP changent, votre SPF reste valide.

Protégez votre Email avec SPF

SPF est la première ligne de défense contre l'usurpation d'identité email. En définissant clairement qui peut envoyer des emails pour votre domaine, vous protégez votre réputation et vos destinataires contre le phishing.

Configurez SPF correctement, surveillez-le avec MoniTao, et complétez votre protection avec DKIM et DMARC. L'authentification email complète est essentielle dans l'environnement de menaces actuel.

Liens utiles

Prêt à dormir sur vos deux oreilles ?

Commencez gratuitement, sans carte bancaire.

Créer mon compte Voir les tarifs