Vérifiez la configuration de l’enregistrement SPF de votre domaine. Contrôlez quelles adresses IP sont autorisées à envoyer des e-mails au nom de votre domaine et optimisez votre enregistrement afin de prévenir les échecs d’authentification.
Skysnag automatise la gestion des enregistrements SPF, garantissant que vos enregistrements sont optimisés, à jour et ne dépassent jamais la limite de requêtes DNS pouvant provoquer des échecs d’authentification.
Aplatissement automatique
Convertissez les enregistrements SPF imbriqués pour éviter la limite de 10 requêtes DNS
Découverte des sources
Détectez automatiquement toutes les sources légitimes d’e-mails pour votre domaine
Mises à jour en temps réel
Maintenez votre enregistrement SPF à jour au fur et à mesure des changements de votre infrastructure de messagerie.
Test de validation
Testez continuellement votre enregistrement SPF pour vous assurer qu'il fonctionne correctement.
Alignement DMARC
Assurez-vous que votre enregistrement SPF s'aligne correctement avec votre politique DMARC.
Surveillance des performances
Surveillez les taux d'authentification SPF et identifiez les problèmes de délivrabilité.
SPF (Sender Policy Framework) est une méthode d’authentification des e-mails qui permet aux propriétaires de domaine de spécifier les adresses IP et les serveurs de messagerie autorisés à envoyer des e-mails au nom de leur domaine. Cette méthode aide à prévenir l’usurpation d’identité par e-mail et améliore la délivrabilité.
Définissez quelles adresses IP et quels serveurs sont autorisés à envoyer des e-mails au nom de votre domaine.
Empêchez les expéditeurs non autorisés d’usurper votre domaine lors d’attaques de phishing.
Augmentez la probabilité que vos e-mails légitimes atteignent la boîte de réception plutôt que les dossiers spam.
Optimisez les enregistrements SPF pour éviter la limite de 10 requêtes DNS qui peut provoquer des échecs d’authentification.
Les enregistrements SPF se terminent par un mécanisme "all" qui définit ce qu’il advient des e-mails ne correspondant à aucun des expéditeurs autorisés :
Échec léger - marquer les messages échouant au contrôle SPF comme suspects
Hard fail - reject messages that fail SPF check
Neutre - ne prendre aucune mesure basée sur le contrôle SPF
Découvrez l’impact d’une mise en œuvre SPF optimisée avec Skysnag
99.8%
Taux d’authentification SPF
85%
Réduction des échecs de requêtes DNS
100%
Maintenance automatisée des enregistrements
24/7
Surveillance et optimisation
Rencontrez l’un de nos experts pour examiner votre rapport. Nous vous guiderons à travers les problèmes, expliquerons les lacunes de sécurité et vous montrerons exactement comment Skysnag les résout automatiquement.
Discuter de mes résultatsSkysnag vous offre tout ce dont vous avez besoin pour appliquer DMARC, automatiser SPF et DKIM, déployer MTA-STS et TLS-RPT, et activer BIMI – afin que vos e-mails soient sécurisés, conformes et dignes de confiance.
Monitor
Identifiez les tentatives de compromission d’e-mails et résolvez les problèmes de livraison d’e-mails
Comply
Respectez les exigences de Microsoft, Google et Yahoo et visualisez les données d’envoi en temps réel
Protect
Automatisez l’application de DMARC pour une sécurité e-mail inégalée
Certify
Certifiez votre marque avec la norme d’identité la plus élevée au monde
Un enregistrement SPF est un enregistrement DNS TXT qui répertorie les serveurs et services autorisés à envoyer des e-mails pour votre domaine. Les serveurs de réception le vérifient pour confirmer qu'un message provient d'une source autorisée. Un enregistrement SPF commence par v=spf1 et se termine par un mécanisme all, généralement ~all (échec logiciel) ou -all (échec matériel).
SPF (Sender Policy Framework), défini dans la RFC 7208, permet à un propriétaire de domaine de publier, dans DNS, la liste des adresses IP et des services autorisés à envoyer des e-mails en utilisant son domaine. Lorsqu'un serveur de réception reçoit un message, il vérifie l'adresse IP d'envoi par rapport à cette liste.
SPF est l’une des deux méthodes d’authentification sur lesquelles s’appuie DMARC. En soi, il a des limites : il s'interrompt lorsque le courrier est transféré et il vérifie le domaine « enveloppe » masqué plutôt que l'adresse d'expédition visible. C'est exactement pourquoi DMARC existe pour le lier au domaine De.
Une contrainte critique : SPF autorise un maximum de 10 recherches DNS. Les enregistrements qui incluent de nombreux services tiers dépassent cette limite et échouent avec un permerror, rompant silencieusement l'authentification. Maintenir SPF sous la limite (souvent via un aplatissement) est un problème courant dans le monde réel.
Un enregistrement SPF est un enregistrement TXT sur le domaine lui-même (et non sur un sous-domaine). Vérifiez-le avec l'outil ci-dessus ou depuis un terminal.
L'enregistrement SPF est l'enregistrement TXT commençant par v=spf1 :
$ dig TXT example.com +shortUtilisez nslookup ou PowerShell :
$ nslookup -type=TXT example.com$ Resolve-DnsName -Name example.com -Type TXTComptez les mécanismes qui provoquent des recherches DNS (include, a, mx, ptr, exists, redirect). Si le total dépasse 10, SPF échoue avec permerror — le vérificateur ci-dessus les compte pour vous.
example.comv=spf1 include:_spf.google.com include:servers.mcsv.net ~allUn enregistrement SPF autorisant Google Workspace et Mailchimp, se terminant par ~all (échec logiciel), afin que les expéditeurs non répertoriés soient marqués mais pas définitivement rejetés lors du déploiement.
SPF est construit à partir de mécanismes (qui peut envoyer) et de qualificatifs (ce qui se passe autrement). Il doit commencer par v=spf1.
| Balise | Type | Signification |
|---|---|---|
include |
Mécanisme | Autorisez le SPF d’un autre domaine (par exemple include:_spf.google.com). Chacun coûte une recherche DNS. |
a |
Mécanisme | Autoriser la ou les adresses IP de l’enregistrement A du domaine. |
mx |
Mécanisme | Autorisez les IP MX (serveur de messagerie) du domaine. |
ip4 / ip6 |
Mécanisme | Autorisez directement une adresse IP ou une plage spécifique. Aucun coût de recherche DNS. |
~all |
Qualificateur | Échec logiciel : les expéditeurs non répertoriés sont autorisés mais marqués comme suspects. Recommandé lors de l'installation. |
-all |
Qualificateur | Échec brutal : les expéditeurs non répertoriés sont rejetés. L’état final le plus fort. |
?all |
Qualificateur | Neutre : aucune affirmation. N'offre aucune protection. |
redirect |
Modificateur | Remplacez cet enregistrement par le SPF d’un autre domaine. |
Résultats SPF courants et mesures à prendre à leur sujet.
| Résultat | Ce que cela signifie et que faire |
|---|---|
| Aucun enregistrement SPF | Publiez-en un répertoriant vos services d'envoi, se terminant par ~all, puis serrez à -all. |
| Deux enregistrements SPF ou plus | Invalide. Un domaine ne peut avoir qu'un seul enregistrement v=spf1 : fusionnez-les en un seul enregistrement. |
| permerror / trop de recherches DNS | Vous avez dépassé la limite de 10 recherches. Aplatissez l’enregistrement ou supprimez les inclusions inutilisées. |
| Se termine par ?all ou +all | Cela n’offre aucune protection. Passez à ~all, puis à -all. |
Un enregistrement SPF est un enregistrement DNS TXT, commençant par v=spf1, qui répertorie les serveurs et services autorisés à envoyer des e-mails pour votre domaine. Les serveurs de réception l'utilisent pour détecter les faux expéditeurs.
Exécutez dig TXT yourdomain.com +short et recherchez la ligne commençant par v=spf1, ou utilisez le vérificateur ci-dessus, qui compte également vos recherches DNS.
L'évaluation SPF est limitée à 10 recherches DNS. Des mécanismes tels que include, a, mx et redirect consomment chacun des recherches. Un dépassement de 10 entraîne l'échec d'un permerror et d'un SPF, souvent silencieusement. L'aplatissement SPF résout les inclusions dans les adresses IP pour rester en dessous de la limite.
~all (échec logiciel) marque les expéditeurs non répertoriés comme suspects mais les livre quand même ; -all (échec brutal) les rejette. Commencez par ~all tout en vérifiant vos expéditeurs, puis passez à -all pour une protection complète.
Non. Un domaine doit avoir exactement un enregistrement SPF (v=spf1). Plusieurs enregistrements SPF ne sont pas valides et entraînent l'échec de l'authentification. Combinez tous les expéditeurs en un seul enregistrement.
Non. SPF s'interrompt lors du transfert et vérifie uniquement l'expéditeur de l'enveloppe, pas l'adresse d'expéditeur visible. Vous avez besoin de DMARC (avec SPF et DKIM) pour empêcher l'usurpation d'identité de votre domaine From.
