Vérifier le SPF : qui peut envoyer des e-mails au nom de ce domaine ?

Le SPF est l’enregistrement DNS dans lequel un domaine liste les serveurs autorisés à envoyer ses e-mails. Sans lui, ou avec un SPF cassé ou trop ouvert, il est plus facile d’envoyer de faux e-mails au nom de ce domaine. Saisissez un domaine, une adresse e-mail ou un lien et nous lirons son SPF pour vous l’expliquer.

Ajouter comme source préférée Télécharger surGoogle Play Télécharger surApp Store

Comment l’utiliser

Saisissez le domaine que vous voulez vérifier, ou collez une adresse e-mail ou un lien : nous n’utilisons que son domaine.
Appuyez sur « Vérifier le SPF ». Nous lisons l’enregistrement SPF et suivons chaque include, comme le ferait un serveur de réception.
Regardez comment se termine l’enregistrement et le nombre de requêtes : ce que vous voulez voir, c’est « -all » ou « ~all » et 10 requêtes ou moins.

Ce que signifie chaque résultat

Ce domaine n’a pas de SPF: Il n’indique pas quels serveurs peuvent envoyer ses e-mails, ce qui facilite l’usurpation de son identité. Si c’est votre domaine, publiez un enregistrement SPF.
L’enregistrement SPF contient des erreurs: Les serveurs de réception ne peuvent pas l’appliquer : pour eux, le domaine n’a pas de SPF. Les signaux ci-dessous indiquent ce qui ne va pas.
N’importe qui peut envoyer des e-mails au nom de ce domaine: L’enregistrement se termine par « +all », qui autorise tous les serveurs du monde. Configuré ainsi, le SPF ne protège rien.
Le SPF ne protège pas complètement le domaine: L’enregistrement ne dit pas quoi faire des serveurs qui ne figurent pas sur sa liste : les faux e-mails au nom du domaine ne sont donc pas signalés.
Le SPF est bien configuré: Le domaine liste les serveurs qui peuvent envoyer ses e-mails et demande aux serveurs de réception de signaler ou de rejeter les autres. Le SPF seul n’empêche pas l’usurpation : c’est le DMARC qui indique aux serveurs de réception quoi faire.

Ce que signifie chaque signal

Le domaine ne publie aucun enregistrement SPF.
Un domaine (celui-ci ou un domaine inclus) publie plus d’un enregistrement SPF. Un seul est autorisé : les serveurs de réception le traitent donc comme une erreur.
L’enregistrement contient un terme mal écrit : les serveurs de réception le traitent donc comme une erreur.
L’enregistrement nécessite plus de 10 requêtes DNS en comptant tous ses include. Au-delà de 10, les serveurs de réception le traitent comme une erreur.
Un include pointe vers un domaine qui n’a pas d’enregistrement SPF : les serveurs de réception traitent donc l’enregistrement comme une erreur.
Les include tournent en boucle : un domaine finit par s’inclure lui-même.
Il se termine par « +all » : n’importe quel serveur du monde peut envoyer des e-mails au nom de ce domaine.
Il se termine par « ?all » : il ne dit rien des serveurs qui ne sont pas listés, donc il ne protège pas.
Il se termine par « ~all » : les e-mails venant d’autres serveurs sont marqués comme suspects, mais pas rejetés. C’est le réglage le plus courant.
Il n’a pas de « all » à la fin : les serveurs qui ne sont pas listés obtiennent un résultat neutre et aucune protection.
Il utilise « ptr », un mécanisme lent que la norme déconseille. De nombreux serveurs de réception l’ignorent.
Il utilise des macros (des termes avec %) qui changent à chaque message : nous ne pouvons pas suivre cette partie et le nombre réel de requêtes peut être plus élevé.

Pays couverts

Fonctionne avec les domaines de tous les pays. Nous lisons l’enregistrement comme le font les serveurs de réception (RFC 7208) : ses mécanismes, la façon dont il se termine, chaque include et redirect jusqu’à 30 requêtes, et son nombre de requêtes DNS par rapport à la limite de 10.

Nous lisons les enregistrements DNS publics du domaine. Si vous saisissez une adresse e-mail ou un lien, seul son domaine quitte votre navigateur. Nous ne conservons pas le domaine que vous consultez.

Questions fréquentes

Qu’est-ce que le SPF ?

Sender Policy Framework : un enregistrement DNS dans lequel un domaine liste les serveurs autorisés à envoyer ses e-mails. Le serveur qui reçoit un message vérifie si le serveur qui le lui a remis figure sur cette liste.

Lequel est le meilleur, « -all » ou « ~all » ?

« -all » demande aux serveurs de réception de rejeter les e-mails des serveurs qui ne sont pas listés ; « ~all » leur demande de les marquer comme suspects. Les deux protègent, et beaucoup de domaines utilisent « ~all » et laissent le DMARC décider quoi faire. « +all » et « ?all » ne protègent pas.

Pourquoi la limite de 10 requêtes est-elle importante ?

Chaque include, a, mx, ptr, exists et redirect oblige le serveur de réception à interroger le DNS. Si l’enregistrement complet en nécessite plus de 10, il est traité comme une erreur et le SPF cesse de fonctionner. Supprimez les services que vous n’utilisez plus ou demandez à votre fournisseur un include plus simple.

Le SPF arrête-t-il à lui seul les faux e-mails ?

Non. Le SPF vérifie l’expéditeur caché de l’enveloppe, pas l’adresse que vous voyez dans « De ». C’est le DMARC qui relie les deux et demande aux serveurs de réception de mettre en quarantaine ou de rejeter les e-mails qui échouent. Vérifiez aussi le DMARC du domaine.