Un enregistrement SPF se terminant par ~all est un softfail : le courrier de serveurs non listés est tout de même remis, seulement marqué comme suspect. C’est une valeur sûre pendant que vous construisez votre enregistrement, mais l’état final le plus fort est -all (hardfail), qui indique aux destinataires de rejeter directement les expéditeurs non autorisés.
Le dernier mécanisme d’un enregistrement SPF décide du sort des expéditeurs non listés. ~all (softfail) = accepter mais marquer. -all (hardfail) = rejeter. ?all (neutre) et +all (tout accepter) n’offrent quasiment aucune protection et ne devraient jamais être utilisés en production.
Passer directement à -all avant d’avoir listé chaque expéditeur légitime fera rebondir du vrai courrier. ~all vous permet de publier un enregistrement fonctionnel et d’observer vos rapports agrégés DMARC pour confirmer que rien de légitime n’échoue avant de durcir.
Appliquez DMARC en parallèle de SPF : DMARC avec p=reject est ce qui bloque réellement l’usurpation, et il fonctionne même si vous gardez ~all. Une fois que vos rapports montrent que tous les vrais expéditeurs passent SPF et s’alignent, passez de ~all à -all pour une défense en profondeur.
Regardez le dernier mécanisme de votre dossier :
$ dig TXT yourdomain.com +shortVérifiez votre enregistrement SPF maintenant
Ouvrir le vérificateur SPF gratuit →Non, c’est un réglage raisonnable et courant. Il n’est simplement pas le plus fort. Avec DMARC en p=reject, ~all reste bien protégé ; -all ajoute une seconde couche.
Pas totalement. SPF se casse au transfert et ne vérifie que l’expéditeur d’enveloppe. DMARC lie l’authentification à l’adresse De: visible et applique une politique.
