Fonctionnement du vérificateur SPF
Il lit les enregistrements TXT du domaine saisi et sélectionne celui qui commence par v=spf1. Il suit ensuite chaque include et redirect comme le ferait un serveur de réception, comptabilise chaque recherche nécessitant une requête DNS et vérifie la syntaxe de chaque terme.
Aucune adresse IP n’intervient. Il s’agit ici de vérifier si l’enregistrement est valide et respecte la limite de requêtes pour tous ceux qui doivent l’évaluer, et non de savoir si un serveur particulier peut envoyer des e-mails. Pour cela, envoyez un message via le test complet. Le rapport indique le résultat réellement obtenu par le serveur de réception.
Trop de requêtes DNS : la limite de dix
La RFC 7208 limite une évaluation SPF à dix termes nécessitant une requête DNS : include, a, mx, ptr, exists et redirect. Le décompte porte sur toute l’arborescence. Ainsi, un include qui en contient lui-même trois autres utilise quatre recherches. Si la limite est dépassée, le résultat est permerror, ce que DMARC considère comme un échec SPF.
Le vérificateur compte chaque terme, y compris ceux que l’évaluation pourrait ne jamais atteindre, car une évaluation réelle s’arrête à la première correspondance. Les serveurs placés au début continuent de réussir, tandis que ceux qui figurent plus loin commencent à échouer. De l’extérieur, cela donne l’impression que l’envoi fonctionne pour certains messages, mais pas pour d’autres.
Les termes ip4 et ip6 ne coûtent aucune recherche. Remplacer les include par des plages d’adresses, une technique appelée aplatissement, réduit le nombre de recherches, mais vous oblige à maintenir manuellement ces plages à jour avec celles de vos fournisseurs.
Erreurs à rechercher
Deux enregistrements SPF sur un même domaine. Cela arrive lorsque le guide de configuration d’un deuxième fournisseur demande d’ajouter un enregistrement et que personne ne le fusionne avec le premier. La présence de deux enregistrements provoque à elle seule un permerror.
Une terminaison +all, qui permet à n’importe quel serveur sur Internet de réussir, ou ?all, qui ne donne aucune indication sur les autres serveurs et n’offre donc aucune protection. Un terme ptr, que la RFC 7208 déconseille d’utiliser. Les include de services que l’entreprise a cessé d’utiliser depuis des années coûtent encore chacun une recherche.
Questions
À quoi ressemble un enregistrement SPF ?
Il s’agit d’un enregistrement TXT unique sur le domaine, qui commence par v=spf1, indique qui peut envoyer des e-mails et se termine par une règle pour tous les autres expéditeurs. v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all autorise Google Workspace et un serveur à envoyer des e-mails, et applique un softfail aux autres. Un domaine ne peut en publier qu’un seul.
SPF softfail ou hardfail : ~all ou -all ?
Une fois DMARC en place, les deux conviennent, car DMARC décide du traitement d’un message qui échoue. ~all (softfail) est le choix le plus sûr tant que vous recherchez encore tous les services qui envoient des e-mails pour vous. Passez à -all lorsque les rapports DMARC ne montrent plus aucun échec légitime.
Pourquoi mon enregistrement passe-t-il le test complet, mais affiche-t-il plus de dix recherches ici ?
Le serveur destinataire a arrêté l’évaluation au premier terme correspondant à votre serveur. Il n’a donc pas effectué les recherches restantes. Un autre serveur situé plus loin dans la liste ferait dépasser la limite de dix recherches à la même évaluation, qui échouerait alors.
Qu’est-ce qu’une recherche DNS sans résultat ?
Une requête DNS qui ne renvoie aucun enregistrement ou qui porte sur un nom inexistant. RFC 7208 autorise deux recherches de ce type lors d’une évaluation. La troisième provoque une permerror. Les include de domaines qui n’existent plus en sont la cause habituelle.
Un domaine peut-il avoir deux enregistrements SPF ?
Non. RFC 7208 autorise un seul enregistrement commençant par v=spf1. S’il y en a deux, chaque évaluation se termine par permerror. Fusionnez-les : conservez un seul v=spf1, ajoutez-y les termes include et ip4 des deux enregistrements et terminez par un seul all. v=spf1 include:_spf.google.com include:servers.mcsv.net ~all couvre deux fournisseurs dans un seul enregistrement.
Guide complet : Multiple SPF records
Que signifie SPF permerror ?
Erreur permanente : l’enregistrement ne peut pas être évalué tel qu’il est publié, donc une nouvelle tentative donne le même résultat. Les causes habituelles sont plus de dix requêtes DNS, deux enregistrements SPF sur un même domaine, une erreur de syntaxe et une troisième requête sans résultat. DMARC considère un permerror comme un échec de SPF.
Guide complet : SPF permerror: too many DNS lookups
Que se passe-t-il si aucun enregistrement SPF n’est trouvé ?
Les serveurs destinataires obtiennent le résultat none, que DMARC traite comme un échec, et n’importe qui peut utiliser votre domaine comme expéditeur de l’enveloppe. Publiez sur le domaine lui-même un seul enregistrement TXT qui commence par v=spf1, répertorie les services qui envoient des e-mails pour vous et se termine par ~all ou -all.