[Réponse rapide]
SPF (Sender Policy Framework) est un enregistrement DNS TXT qui répertorie les serveurs de messagerie et les services autorisés à envoyer des e-mails pour votre domaine. Les destinataires comparent l'adresse IP du serveur expéditeur à cette liste. Il est défini dans RFC 7208 et constitue l'une des trois vérifications requises Gmail et Yahoo .
Faits clés
- ›Publié sous forme d'enregistrement TXT sur le domaine racine, en commençant par v=spf1.
- ›Un seul enregistrement SPF par domaine ; deux enregistrements provoquent une PermError.
- ›Maximum 10 mécanismes de requête DNS (inclure, a, mx, ptr, existe, redirection).
- ›Se termine par ~all ( softfail ) ou -all (fail).
- ›SPF vérifie l'expéditeur de l'enveloppe ( Return-Path ), et non l'adresse d'expédition visible ; DMARC ajoute ce lien.
Révisé par l'équipe de recherche EmailAuth
SPF (Sender Policy Framework) est une norme d'authentification de courrier électronique, définie dans RFC 7208 , qui permet à un propriétaire de domaine de publier la liste des serveurs de messagerie autorisés à envoyer des courriers électroniques au nom de ce domaine. Lorsqu'un serveur de réception reçoit un message, il vérifie l'adresse IP du serveur d'envoi par rapport à l'enregistrement SPF publié du domaine dans DNS . Si l’IP est autorisée, SPF passe. Si ce n'est pas le cas, le destinataire peut considérer le message comme suspect ou le rejeter. SPF est l'une des trois normes de base qui protègent un domaine contre l'usurpation d'identité, aux côtés de DKIM et DMARC .
Comment fonctionne SPF étape par étape
SPF fonctionne pendant la conversation SMTP , avant que le corps du message ne soit entièrement accepté. La vérification s'exécute sur le domaine dans le Return-Path (l'expéditeur de l'enveloppe), et non sur l'adresse d'expéditeur visible, ce qui est une distinction importante pour l'alignement DMARC . Le serveur récepteur lit l'enregistrement SPF , résout les mécanismes qu'il contient et compare l'adresse IP de connexion aux plages autorisées.
- Un serveur d'envoi se connecte et annonce son domaine d'expéditeur d'enveloppe.
- Le récepteur interroge DNS pour l'enregistrement SPF TXT de ce domaine.
- Le récepteur évalue chaque mécanisme dans l'ordre jusqu'à ce que l'un d'entre eux corresponde.
- Une correspondance renvoie une réussite, un échec, softfail ou un neutre en fonction du qualificatif.
- Le récepteur applique sa propre politique et DMARC utilise le résultat pour l'alignement.
La limite de 10 recherches DNS
RFC 7208 limite l'évaluation SPF à 10 recherches DNS par vérification. Les mécanismes tels que include, a, mx, ptr et exist consomment chacun des recherches, et chaque inclusion peut déclencher d'autres recherches imbriquées dans l'enregistrement tiers. Les expéditeurs populaires comme Google Workspace , Microsoft 365 , Salesforce et SendGrid ajoutent chacun leurs propres chaînes, de sorte qu'un domaine avec une poignée de fournisseurs peut rapidement franchir la limite. Lorsque l'évaluation dépasse 10 recherches, le récepteur renvoie une permerror , que la plupart des systèmes traitent comme un échec.
Pourquoi la limite mord
Traversez 10 recherches et SPF renvoie permerror . Le courrier légitime provenant de vos propres fournisseurs approuvés peut alors échouer à l'authentification sans erreur visible pour vous.
Là où SPF s'arrête et où commencent DKIM et DMARC
SPF vérifie le serveur de connexion afin qu'il ne survive pas au transfert. Lorsqu'une boîte aux lettres transfère un message, la nouvelle adresse IP de connexion est le redirecteur, pas votre serveur, et SPF s'interrompt. DKIM signe le contenu du message avec une clé cryptographique qui accompagne l'e-mail, afin qu'il puisse survivre au transfert. DMARC relie les deux en exigeant que SPF ou DKIM réussissent et s'alignent sur le domaine visible From, et il indique aux récepteurs quoi faire en cas d'échec. Depuis les règles Google et Yahoo de 2024, les expéditeurs de masse doivent s'authentifier auprès de SPF et DKIM et publier DMARC .
Correction du débordement de recherche avec SmartSPF
EmailAuth SmartSPF résout la limite de 10 recherches avec un aplatissement dynamique. Il étend votre chaîne d'inclusion complète, l'aplatit en un seul enregistrement optimisé et maintient les plages IP d'expéditeurs tiers pour Salesforce , SendGrid , Microsoft 365 et Google Workspace synchronisées à mesure que ces fournisseurs modifient leur infrastructure. Une analyse de domaine gratuite élargit votre chaîne d'inclusion et compte vos recherches en cours afin que vous puissiez voir exactement où vous en êtes.
Questions fréquemment posées
Que signifie SPF ?
SPF signifie Sender Policy Framework. Il s'agit d'une norme d'authentification de courrier électronique définie dans RFC 7208 qui permet à un domaine de publier quels serveurs de messagerie sont autorisés à envoyer en son nom. Les serveurs de réception l'utilisent pour détecter les faux expéditeurs.
SPF arrête-t-il toute usurpation d'e-mails ?
Non. SPF vérifie uniquement le domaine de l'expéditeur de l'enveloppe par rapport aux adresses IP autorisées et s'interrompt lorsque le courrier est transféré. Pour protéger entièrement l'adresse De visible, vous avez également besoin DKIM et d'une politique DMARC qui applique l'alignement.
Quelle est la limite de recherche DNS SPF 10 ?
RFC 7208 autorise un maximum de 10 recherches DNS lorsqu'un récepteur évalue un enregistrement SPF . Des mécanismes tels que include, a et mx consomment chacun des recherches, et les enregistrements de fournisseurs imbriqués en ajoutent davantage. Au-delà de 10 renvoie une permerror , qui est traitée comme un échec.
SPF est-il toujours obligatoire en 2024 et au-delà ?
Oui. Depuis 2024, Google et Yahoo exigent que les expéditeurs en masse authentifient les e-mails, et SPF en est un élément essentiel aux côtés DKIM et DMARC . Si vous ne le faites pas, votre courrier risque d'être filtré ou rejeté.
Qu'est-ce qu'un enregistrement SPF ?
Un enregistrement DNS TXT répertoriant les serveurs autorisés à envoyer des e-mails pour votre domaine, par exemple v=spf1 include:_spf.google.com ~all .
Comment ajouter plusieurs enregistrements SPF ?
Vous ne pouvez pas. Combinez tous les expéditeurs en un seul enregistrement : v=spf1 include:_spf.google.com include:sendgrid.net ~all .
Comment créer un enregistrement SPF ?
Répertoriez tous les services qui envoient du courrier pour vous, ajoutez l'inclusion ou l'adresse IP de chaque fournisseur et terminez par ~all ou -all . Un générateur SPF le construit pour vous.
Quelle est la limite de recherche SPF 10 ?
L'évaluation SPF peut effectuer au maximum 10 recherches DNS . Le dépasser renvoie PermError et SPF échoue. Supprimez les inclusions inutilisées ou aplatissez l’enregistrement.
Que signifie v=spf1 include:_spf.google.com ~all ?
Il autorise les serveurs Google Workspace à envoyer votre domaine et échoue tout le reste.
[ SPF guide ]
Provenance de l'entreprise
Pourquoi les principales institutions financières et gouvernements ont retiré leurs tableaux de bord de sécurité de messagerie.
Les plateformes traditionnelles d'authentification de courrier électronique vous vendent un tableau de bord et demandent à vos ingénieurs de faire le travail. Dans les environnements à enjeux élevés, la surveillance manuelle entraîne des retards dans l’application, des dérives de configuration et des domaines fantômes non surveillés.
EmailAuth est la plateforme agent de provenance des e-mails. Nos agents appliquent p=reject, gardez les expéditeurs tiers alignés et déplacez vos domaines au maximum RFC 9989 conformité, la nouvelle norme DMARC , avec une auditabilité humaine dans la boucle.
SaaS · Location dédiée · Air-gappé sur site · Chiffrement BYOK