Vérificateur SPF
Saisissez un domaine pour lire son enregistrement SPF, compter ses requêtes DNS et voir quoi changer si quelque chose cloche. Gratuit, sans compte.
Chaque enregistrement est vérifié dans la même passe. Aussi : Vérificateur DKIM, Vérificateur DMARC, Recherche des enregistrements MX. Vérification complète du domaine.
À quoi ressemble un enregistrement SPF correct
SPF est un seul enregistrement TXT à la racine du domaine. Il commence par v=spf1, nomme chaque service qui envoie des emails en votre nom, et se termine en disant quoi faire de tous les autres.
La terminaison compte. ~all demande aux destinataires de se méfier des autres expéditeurs, -all leur demande de les refuser. +all laisse n'importe qui sur internet envoyer en votre nom et ne doit jamais être publié.
votredomaine.fr. TXT "v=spf1 include:_spf.google.com include:spf.smailor.com ~all"
Les erreurs que le vérificateur trouve le plus
Deux enregistrements SPF sur le même domaine. Les destinataires ne les fusionnent pas : ils renvoient une erreur permanente et SPF échoue pour chaque message. Réunissez les include dans un seul enregistrement.
Plus de 10 requêtes DNS. Chaque include, a, mx, ptr, exists et redirect compte, y compris ceux des enregistrements inclus. Au-delà de dix, SPF échoue. Retirez d'abord les services que vous n'utilisez plus.
Un enregistrement qui se termine par ?all, ou sans terminaison du tout. Il n'autorise rien de précis, donc il ne protège rien.
Là où SPF s'arrête
SPF vérifie l'expéditeur d'enveloppe, l'adresse de retour d'un message transféré ou rejeté, pas l'adresse De que lit votre destinataire. C'est pour cela que DMARC existe : il exige que SPF ou DKIM passe pour le domaine affiché dans De. Un domaine avec SPF et sans DMARC n'est protégé qu'à moitié.
Questions
Combien d'enregistrements SPF un domaine peut-il avoir ?
Un seul. La RFC 7208 impose un unique enregistrement TXT commençant par v=spf1 par nom de domaine. Avec deux, les destinataires renvoient une erreur permanente et SPF échoue pour tout votre courrier. Fusionnez les mécanismes des deux en un seul.
Qu'est-ce que la limite des 10 requêtes SPF ?
L'évaluation SPF peut déclencher au plus 10 requêtes DNS, en comptant include, a, mx, ptr, exists et redirect, récursivement dans chaque enregistrement inclus. Au-delà, le résultat est permerror et SPF échoue. Le vérificateur les compte pour vous et liste chaque service autorisé.
Mon SPF doit-il finir par ~all ou -all ?
Les deux sont valides. ~all (softfail) est le choix courant tant que vous cherchez encore tous les services qui envoient en votre nom. -all (fail) est plus strict. Une fois DMARC appliqué, les destinataires suivent de toute façon la politique DMARC, donc ~all suffit pour la plupart des domaines.
SPF empêche-t-il d'usurper mon adresse De ?
Pas seul. SPF vérifie l'expéditeur d'enveloppe, souvent un autre domaine que l'adresse De visible. DMARC relie les deux : il ne passe que si SPF ou DKIM passe pour le domaine de l'adresse De, et dit aux destinataires quoi faire sinon.
Lit uniquement le DNS public. Une clé DKIM introuvable est indiquée comme non déterminée, jamais comme une erreur. Les résultats sont gardés dix minutes.