Ce que fait réellement un enregistrement SPF
SPF (Sender Policy Framework) est un enregistrement TXT placé à la racine de votre domaine qui liste les serveurs autorisés à envoyer du courrier avec votre domaine dans l'expéditeur d'enveloppe. Quand Gmail ou Microsoft reçoit un message, il consulte l'enregistrement, compare l'IP de connexion à chaque mécanisme dans l'ordre et s'arrête à la première correspondance.
Le résultat est pass, fail, softfail ou neutral. Seul, SPF bloque rarement le courrier, mais DMARC a besoin que SPF ou DKIM réussisse et soit aligné avec le domaine de l'expéditeur affiché. Pour le cold email, un enregistrement SPF cassé signifie que DMARC ne repose plus que sur DKIM : si celui-ci est mal configuré aussi, vos campagnes finissent en spam.
v=spf1 include:_spf.google.com ~allLa limite de 10 recherches DNS et comment les enregistrements la dépassent
La RFC 7208 plafonne à 10 le nombre de termes générant une requête DNS pour l'ensemble de l'enregistrement, y compris chaque include imbriqué. Les termes qui comptent : include, a, mx, ptr, exists et redirect. Ceux qui ne comptent pas : ip4, ip6 et all. Au-delà de la limite, les destinataires renvoient permerror, que la plupart traitent comme un échec ferme.
Le piège, c'est que les include masquent leurs propres recherches. Un seul include vers un gros fournisseur peut en consommer quatre ou cinq à lui tout seul. Les agences qui greffent un CRM, un outil de support, une plateforme marketing et deux outils d'envoi atteignent fréquemment 12 ou 13 sans s'en rendre compte.
- Retirez les include des outils qui n'envoient plus depuis ce domaine.
- Utilisez un sous-domaine distinct pour le courrier marketing ou transactionnel, afin que chaque enregistrement SPF reste court.
- Ne remplacez l'include statique d'un fournisseur par ses plages ip4 que si vous êtes prêt à les maintenir.
- Ne publiez jamais deux enregistrements v=spf1 ; fusionnez-les en un seul.
Choisir entre ~all et -all pour le cold email
Le terme all final définit la politique appliquée à tout serveur non listé. -all est un échec ferme, ~all un échec souple. Les deux sont acceptés par Gmail et Microsoft, et tous deux laissent DMARC faire son travail. Ce qui compte bien davantage, c'est que chaque expéditeur légitime soit listé avant le terme all, et que vous évitiez complètement +all et ?all.
Pour les domaines de prospection qui envoient via Google Workspace ou Microsoft 365, ~all est le choix sûr tant que vous ajoutez encore des outils. Passez à -all une fois la liste d'expéditeurs stabilisée. InboxOne publie automatiquement un enregistrement SPF correct avec le bon include lors du provisionnement d'une boîte mail, pour que les nouveaux domaines démarrent proprement.
Les erreurs SPF courantes que cet outil détecte
La plupart des échecs SPF n'ont rien d'exotique. Ils viennent d'erreurs de copier-coller, d'include oubliés et d'enregistrements jamais mis à jour après un changement de fournisseur. L'outil signale chacun d'eux avec la correction précise à apporter.
- Plusieurs enregistrements v=spf1, qui provoquent un permerror immédiat.
- Des termes placés après all, qui sont ignorés silencieusement.
- Des mécanismes ptr obsolètes que certains destinataires sautent entièrement.
- Des recherches à vide, quand un include pointe vers un domaine sans enregistrement SPF.
- Des chaînes TXT de plus de 255 caractères ou des enregistrements globaux exposés à la troncature.
- Des jetons inconnus dus à des fautes de frappe comme includes: ou ip4= au lieu de ip4:.
