What is the difference between -all and ~all in an SPF record?

-all is a hardfail that tells receivers to reject or fail any server not listed in the record. ~all is a softfail that accepts unlisted senders but marks them as suspicious. Use ~all while testing and -all once every legitimate sender is included.

Can I have more than one SPF record?

No. A domain must publish exactly one SPF TXT record. Two or more SPF records cause a permerror and break authentication. Merge all sources into a single record starting with v=spf1.

Do ip4 and ip6 mechanisms count toward the 10 lookup limit?

No. ip4 and ip6 authorize addresses directly and require no DNS resolution, so they do not consume lookups. Mechanisms like include, a, mx, ptr, and exists do count toward the limit of 10.

What does the include mechanism do?

The include mechanism imports another domain's SPF record, which is how you authorize third-party senders like Google Workspace or SendGrid. Each include counts as at least one DNS lookup, and any nested includes inside it add more.

How do I check my SPF record?

Use an SPF checker. It fetches the record, expands each include and counts DNS lookups against the 10 limit.

How do I combine SPF records?

Merge the mechanisms of both records into one v=spf1 record and keep a single all at the end.

Should I use ~all or -all?

Use ~all while you confirm every sender, then -all. With DMARC at p=reject, either works because DMARC makes the final decision.

Enregistrement SPF · EmailAuth

[Réponse rapide]

Un enregistrement SPF est un enregistrement TXT unique sur votre domaine qui commence par v=spf1, répertorie les expéditeurs autorisés avec des mécanismes tels que include:, ip4 : et ip6:, et se termine par un qualificatif all. Exemple : v=spf1 include:_spf.google.com ip4:203.0.113.10 -all .

Faits clés

›Mécanismes : ip4, ip6, a, mx, include, existe ; modificateur : rediriger.
›Qualificatifs : + réussite, ~ softfail , - échec, ? neutre.
›Restez dans les 10 recherches DNS et 255 caractères par chaîne.
›Évitez ptr et +all .

Révisé par l'équipe de recherche EmailAuth

Un enregistrement SPF est un enregistrement DNS TXT unique qui répertorie tous les serveurs et services autorisés à envoyer des e-mails pour votre domaine. Il commence par la balise de version v=spf1, contient une série de mécanismes qui définissent les sources autorisées et se termine par un mécanisme all qui définit la réponse par défaut pour tout ce qui n'est pas répertorié. Les serveurs de messagerie de réception lisent cet enregistrement pour décider si un serveur de connexion est autorisé à envoyer en tant que domaine.

Exemple d'enregistrement SPF

v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 -all

Les mécanismes expliqués

Chaque mécanisme décrit une manière d'autoriser un expéditeur. Le receveur les évalue de gauche à droite et s'arrête au premier match. Certains mécanismes déclenchent des recherches DNS et sont pris en compte dans la limite de 10 recherches fixée par RFC 7208 .

include : extrait l'enregistrement SPF d'un autre domaine, courant pour les fournisseurs comme _spf.google.com , et compte comme une recherche.
ip4 : autorise une adresse ou une plage IPv4 spécifique, sans frais de recherche DNS .
ip6 : autorise une adresse ou une plage IPv6 spécifique, sans frais de recherche DNS .
a : autorise les IP dans l'enregistrement A du domaine et compte comme une recherche.
mx : autorise les serveurs de messagerie dans les enregistrements MX du domaine, et compte comme une recherche.
all : le fourre -all à la fin qui décide de ce qui arrive aux sources non répertoriées.

Hardfail contre softfail : -all et ~all

Le qualificatif devant tout change la rigueur de votre dossier. Utilisez -all (hardfail) pour indiquer aux destinataires que tout serveur non répertorié n'est pas autorisé et que le message doit être rejeté ou traité comme défaillant. Utilisez ~all ( softfail ) pour indiquer que les serveurs non répertoriés ne sont probablement pas autorisés mais doivent être acceptés et marqués, ce qui est utile lors des tests. Un hardfail est la position la plus forte une fois que vous êtes sûr que chaque expéditeur légitime est inclus. Évitez +all , qui autorise tout le monde et va à l’encontre du but recherché.

Softfail pendant les tests

Commencez par ~all pour observer les résultats sans bloquer le courrier, puis passez à -all une fois que chaque expéditeur est confirmé.

Un enregistrement, surveillez vos recherches

Un domaine doit publier exactement un enregistrement SPF . Deux enregistrements SPF TXT provoquent une permerror . Au fur et à mesure que vous ajoutez des fournisseurs, chaque inclusion se développe en recherches supplémentaires et les services populaires s'accumulent rapidement. Lorsque vous effectuez 10 recherches, l'enregistrement échoue silencieusement pour le courrier légitime. EmailAuth SmartSPF aplatit vos chaînes d'inclusion en un seul enregistrement optimisé et synchronise automatiquement les plages IP des fournisseurs pour Microsoft 365 , Google Workspace , Salesforce et SendGrid . Une analyse de domaine gratuite montre vos mécanismes actuels et le nombre de recherches. Associez SPF à DKIM et DMARC pour que l'alignement soit maintenu même lorsque le courrier est transféré.

Questions fréquemment posées

Quelle est la différence entre -all et ~all dans un enregistrement SPF ?

-all est un hardfail qui indique aux destinataires de rejeter ou de faire échouer tout serveur non répertorié dans l'enregistrement. ~all est un softfail qui accepte les expéditeurs non répertoriés mais les marque comme suspects. Utilisez ~all pendant le test et -all une fois que chaque expéditeur légitime est inclus.

Puis-je avoir plusieurs enregistrements SPF ?

Non. Un domaine doit publier exactement un enregistrement SPF TXT . Deux enregistrements SPF ou plus provoquent une permerror et interrompent l'authentification. Fusionnez toutes les sources en un seul enregistrement commençant par v=spf1.

Les mécanismes ip4 et ip6 sont-ils pris en compte dans la limite de 10 recherches ?

Non, ip4 et ip6 autorisent directement les adresses et ne nécessitent aucune résolution DNS , ils ne consomment donc pas de recherches. Les mécanismes tels que include, a, mx, ptr et exist comptent dans la limite de 10.

À quoi sert le mécanisme d'inclusion ?

Le mécanisme d'inclusion importe l'enregistrement SPF d'un autre domaine, ce qui permet d'autoriser les expéditeurs tiers comme Google Workspace ou SendGrid . Chaque inclusion compte pour au moins une recherche DNS , et toute inclusion imbriquée à l'intérieur en ajoute d'autres.

Comment vérifier mon enregistrement SPF ?

Utilisez un vérificateur SPF . Il récupère l'enregistrement, développe chaque inclusion et compte les recherches DNS par rapport à la limite de 10.

Comment combiner les enregistrements SPF ?

Fusionnez les mécanismes des deux enregistrements en un seul enregistrement v=spf1 et conservez-en un seul à la fin.

Dois-je utiliser ~all ou -all ?

Utilisez ~all pendant que vous confirmez chaque expéditeur, puis -all . Avec DMARC à p=reject, l'un ou l'autre fonctionne car DMARC prend la décision finale.

[ SPF guide ]

SPF (cadre de politique de l'expéditeur)Comment créer un enregistrement SPF TXT Comment valider votre enregistrement SPF Quelle est la fréquence du problème SPF ?Vérificateur SPFOutil gratuit Générateur SPFOutil gratuit Aplatisseur SPFOutil gratuit Calculateur SPF CIDROutil gratuit

Une partie de la base de connaissancesSPF · 55 guides

Provenance de l'entreprise

Pourquoi les principales institutions financières et gouvernements ont retiré leurs tableaux de bord de sécurité de messagerie.

Les plateformes traditionnelles d'authentification de courrier électronique vous vendent un tableau de bord et demandent à vos ingénieurs de faire le travail. Dans les environnements à enjeux élevés, la surveillance manuelle entraîne des retards dans l’application, des dérives de configuration et des domaines fantômes non surveillés.

EmailAuth est la plateforme agent de provenance des e-mails. Nos agents appliquent p=reject, gardez les expéditeurs tiers alignés et déplacez vos domaines au maximum RFC 9989 conformité, la nouvelle norme DMARC , avec une auditabilité humaine dans la boucle.

Gouvernements Grandes entreprises Institutions financières de premier rang

SaaS · Location dédiée · Air-gappé sur site · Chiffrement BYOK

L'enregistrement SPF expliqué