Ce que fait un enregistrement SPF
SPF (Sender Policy Framework) est un enregistrement TXT sur votre domaine qui liste les serveurs autorisés à envoyer du courrier en l'utilisant dans l'adresse d'enveloppe. Quand Gmail ou Outlook reçoit un message, il consulte l'enregistrement et vérifie si l'IP de connexion est couverte. Un pass alimente DMARC ; un échec, ou l'absence totale d'enregistrement, est l'une des raisons les plus courantes pour lesquelles un cold email finit en spam.
Un enregistrement tient sur une seule ligne qui commence par v=spf1, suivie de mécanismes (ip4, ip6, include, a, mx) et se termine par un qualificateur sur all. L'ordre compte : les mécanismes sont évalués de gauche à droite et la première correspondance l'emporte.
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.10 -allLa limite de 10 recherches DNS
La RFC 7208 plafonne SPF à 10 recherches DNS. Chaque include, a, mx, ptr, exists et redirect compte, et les include entraînent tout ce que leur propre enregistrement référence. Google Workspace à lui seul se déploie en plusieurs recherches imbriquées : un domaine avec Workspace plus trois outils SaaS peut donc atteindre le plafond sans que personne s'en aperçoive. Au-delà de 10, les destinataires renvoient permerror et votre SPF échoue de fait partout.
- Ne listez que les services qui envoient encore du courrier. Les anciens routeurs d'emails et les outils testés une fois sont les coupables habituels.
- Préférez les plages ip4 aux include quand un fournisseur publie des IP stables, car ip4 ne coûte aucune recherche.
- Les expéditeurs marketing et transactionnels acceptent souvent un sous-domaine dédié, ce qui garde votre enregistrement racine léger.
- Utilisez le vérificateur SPF après publication pour connaître le décompte réel, entièrement déployé.
-all, ~all ou ?all
Le mécanisme all final indique aux destinataires quoi faire des expéditeurs que vous n'avez pas listés. -all (échec ferme) demande de les rejeter. ~all (échec souple) demande de les accepter mais de les considérer comme suspects. ?all (neutre) ne dit rien, ce qui rend l'enregistrement presque inutile. Pour les domaines de cold email, où vous maîtrisez chaque expéditeur, -all est la bonne réponse et donne à DMARC un résultat SPF sans ambiguïté.
Ne commencez par ~all que si vous avez hérité d'un domaine et ignorez ce qui envoie depuis celui-ci. Surveillez les rapports agrégés DMARC pendant deux semaines, ajoutez les sources légitimes, puis passez à -all.
Publier l'enregistrement correctement
Créez un seul enregistrement TXT à la racine du domaine (hôte @ ou vide, selon votre hébergeur DNS). Si un enregistrement v=spf1 existe déjà, modifiez-le plutôt que d'en ajouter un autre : deux enregistrements SPF provoquent une erreur permanente. Les enregistrements de plus de 255 caractères doivent être découpés en plusieurs chaînes entre guillemets, ce que la plupart des panneaux DNS font pour vous.
Les sous-domaines d'envoi ont besoin de leur propre enregistrement SPF ; ils n'héritent pas de celui du parent. La propagation est généralement rapide mais peut prendre jusqu'au TTL de l'ancien enregistrement. Si vous achetez vos domaines d'envoi via InboxOne, le SPF est publié pour vous au provisionnement, avec DKIM et DMARC.
