Créer un enregistrement SPF : guide avec exemples prêts

D'abord vérifier : qu'y a-t-il déjà dans le DNS ?

Testez votre domaine avec le contrôle de domaine gratuit : Contrôle de domaine gratuit. Il montre si un enregistrement SPF existe déjà et s'il est valide. C'est important, car de nombreux hébergeurs en créent un lors de la mise en service. Dans ce cas, vous n'en créez pas un nouveau, vous complétez l'existant.

Vérifiez aussi où votre DNS est géré. C'est le fournisseur vers lequel pointent les serveurs de noms du domaine qui compte. Une entrée faite chez un autre fournisseur n'a aucun effet.

Dressez enfin une liste : qui envoie des e-mails avec votre domaine ? En général, la messagerie (par exemple Microsoft 365), l'outil de newsletter, la boutique en ligne, le logiciel de comptabilité, le formulaire de contact du site et parfois une imprimante multifonction.

Comment un enregistrement SPF est construit

Un enregistrement SPF est une entrée TXT placée directement sur le domaine. Il se compose d'éléments séparés par des espaces :

• v=spf1 figure toujours au début. C'est ainsi que les destinataires reconnaissent l'enregistrement SPF.
• include: reprend la liste d'un fournisseur, par exemple include:spf.protection.outlook.com pour Microsoft 365. Le fournisseur tient lui-même ses serveurs à jour.
• ip4: et ip6: autorisent une adresse IP fixe ou une plage d'adresses, par exemple votre propre serveur web : ip4:203.0.113.25.
• a autorise les serveurs vers lesquels pointe votre domaine (souvent le serveur web). mx autorise les serveurs qui reçoivent les e-mails de votre domaine.
• redirect= renvoie entièrement vers l'enregistrement d'un fournisseur. Hostpoint utilise cette forme.
• À la fin figure la règle pour tous les autres : -all signifie « refuser » (strict), ~all signifie « suspect » (souple). +all autorise n'importe quel serveur au monde à envoyer en votre nom. À ne jamais utiliser.

Bon à savoir : SPF vérifie l'adresse d'expédition technique (Return-Path), pas celle que voit le destinataire. Beaucoup d'outils de newsletter utilisent leur propre adresse pour cela. Votre SPF n'a alors pas besoin d'entrée pour l'outil, mais il faut une signature DKIM. La documentation de l'outil indique ce qui est nécessaire.

Exemples prêts pour les fournisseurs courants

Ne modifiez rien à ces valeurs, sauf si vous envoyez aussi par d'autres services.

• Microsoft 365 : v=spf1 include:spf.protection.outlook.com -all. Microsoft recommande la fin stricte -all.
• Google Workspace : v=spf1 include:_spf.google.com ~all. Google recommande la fin souple ~all.
• Hostpoint : si le domaine et la messagerie sont chez Hostpoint, cliquez dans le Control Panel sous «Domaines» sur «Editer la zone DNS», puis sur «Ajouter un enregistrement SPF Hostpoint». Hostpoint pose lui-même la bonne valeur. Si le DNS est ailleurs, la valeur est v=spf1 redirect=spf.mail.hostpoint.ch.
• Infomaniak : v=spf1 include:spf.infomaniak.ch -all. Infomaniak la crée en général automatiquement lors de la mise en service de la messagerie.
• cyon : v=spf1 include:spf.protection.cyon.net -all. Avec les serveurs de noms de cyon, elle est en général déjà en place.
• Domaine sans envoi d'e-mails (par exemple un domaine secondaire réservé) : v=spf1 -all. Vous déclarez ainsi qu'aucun e-mail ne part de ce domaine.

Exemples de combinaisons

La plupart des PME envoient par plusieurs canaux. Tous figurent dans le même enregistrement, avec v=spf1 au début et une seule fin. Remplacez les éléments entre crochets par la valeur indiquée dans la documentation du service concerné.

• Microsoft 365, outil de newsletter et boutique sur votre propre serveur : v=spf1 include:spf.protection.outlook.com include:[valeur de l'outil de newsletter] ip4:203.0.113.25 -all
• Google Workspace et logiciel de comptabilité : v=spf1 include:_spf.google.com include:[valeur de la comptabilité] ~all
• Microsoft 365 pour les boîtes, boutique chez Hostpoint : v=spf1 include:spf.protection.outlook.com redirect=spf.mail.hostpoint.ch. Hostpoint décrit lui-même cette forme. Le redirect= se trouve à la fin, une seule fois, et aucun all ne suit. La fin est fournie par l'enregistrement de Hostpoint.
• Boîtes cyon et outil de newsletter : v=spf1 include:spf.protection.cyon.net include:[valeur de l'outil de newsletter] -all
• Migration d'Infomaniak vers Microsoft 365 : pendant la transition, v=spf1 include:spf.protection.outlook.com include:spf.infomaniak.ch -all. Dès que plus rien ne passe par Infomaniak, retirez la partie Infomaniak.

-all ou ~all ? Avec ~all, les e-mails étrangers échouent en douceur, avec -all de façon stricte. Pour DMARC, les deux comptent comme un échec. Une démarche raisonnable : commencer avec ~all et passer à -all dès que les rapports DMARC montrent que tous les canaux d'envoi sont couverts.

Créer l'enregistrement dans le DNS, étape par étape

1. Connectez-vous chez le fournisseur qui gère votre DNS et ouvrez la zone DNS du domaine.
2. Cherchez une entrée TXT qui commence par v=spf1. Si elle existe, modifiez-la. N'en créez pas une deuxième.
3. S'il n'y en a pas : créez une nouvelle entrée de type TXT. Chez Infomaniak, le bouton s'appelle «ajouter un enregistrement», chez Hostpoint «Ajouter nouveau record».
4. Comme nom, indiquez le domaine lui-même. Selon l'éditeur, c'est @ ou un champ vide, et non example.com (sinon vous obtenez example.com.example.com).
5. Saisissez la valeur, par exemple v=spf1 include:spf.protection.outlook.com -all. Sans guillemets supplémentaires et sans retour à la ligne.
6. Laissez le TTL proposé ou choisissez 3600 secondes (une heure). Enregistrez.
7. Patientez. Selon Hostpoint, l'enregistrement SPF Hostpoint automatique est actif après 5 à 10 minutes. En général, il peut falloir jusqu'à 48 heures pour que tous les destinataires voient la nouvelle valeur.

Les deux limites : un enregistrement, dix requêtes

Un seul enregistrement SPF par domaine. Deux entrées TXT avec v=spf1 rendent SPF invalide, et tous les e-mails échouent. Comment les fusionner : Deux entrées SPF pour un domaine : pourquoi cela invalide tout.

Dix requêtes DNS au maximum. Chaque include:, a, mx et redirect= coûte une requête, et les includes peuvent en contenir d'autres. ip4:, ip6: et all ne coûtent rien. La valeur d'Infomaniak, par exemple, contient déjà d'autres renvois en interne. Au-delà de dix requêtes, tout l'enregistrement est invalide. Les solutions sont ici : Erreur SPF «too many DNS lookups» : pourquoi dix requêtes doivent suffire.

Erreurs typiques lors de la création

• L'ancien hébergeur reste dedans : après le passage à Microsoft 365, l'ancien serveur de messagerie figure encore dans l'enregistrement. Cela coûte des requêtes et autorise un canal que vous ne contrôlez plus.
• Fautes de syntaxe : include= au lieu de include:, une espace après les deux-points ou un point à la fin du nom. Microsoft cite précisément ces erreurs comme fréquentes.
• Deux fins : ~all au milieu de l'enregistrement et -all à la fin. Tout ce qui suit le premier all est ignoré.
• Redirect Hostpoint combiné avec -all : après un redirect=, aucun all ne doit figurer.
• Sous-domaine oublié : si la boutique envoie depuis boutique.example.com, ce sous-domaine a besoin de son propre enregistrement SPF.

Vérifier que l'enregistrement fonctionne

1. Testez à nouveau le domaine avec le contrôle de domaine. L'enregistrement doit être trouvé, valide et rester sous dix requêtes.
2. Envoyez un e-mail de test vers une boîte chez un autre fournisseur et affichez l'en-tête. Dans la ligne Authentication-Results, vous devriez lire spf=pass.
3. Testez chaque canal d'envoi séparément : newsletter, commande dans la boutique, facture du logiciel de comptabilité.

Pour vérifier en ligne de commande : Vérifier et configurer SPF correctement : guide.

Ce que DomainRadar prend en charge

DomainRadar contrôle votre enregistrement SPF chaque jour : validité, nombre de requêtes, entrées en double. Si un fournisseur modifie ses includes ou si quelqu'un ajoute un deuxième enregistrement, vous recevez une alerte. Les rapports DMARC montrent en outre quels services envoient en votre nom et s'ils passent SPF.