Qu’est-ce qu’un enregistrement SPF et pourquoi en faut-il un ?

C’est un TXT DNS listant les serveurs autorisés à envoyer du courrier comme votre domaine. Les récepteurs y confrontent le serveur qui se connecte ; sans SPF, n’importe qui peut falsifier votre adresse.

Finir par ~all ou par -all ?

Commencez par ~all : les échecs sont marqués mais délivrés, un expéditeur oublié ne perd pas de courrier. Passez à -all quand les rapports montrent que chaque source légitime passe.

Qu’est-ce que la limite des 10 requêtes DNS ?

La RFC 7208 plafonne à dix les mécanismes à requête DNS par évaluation, comptés récursivement à travers les includes imbriqués. Au-delà, permerror — que beaucoup de récepteurs notent comme un échec. Chaque include de fournisseur coûte typiquement une à trois.

SPF seul arrête-t-il l’usurpation ?

Non. SPF vérifie l’expéditeur d’enveloppe, pas le De visible, et casse au transfert. Associez-le aux signatures DKIM et à une politique DMARC — les trois ensemble constituent la vraie authentification.

Générateur d’enregistrement SPF

Construisez l’enregistrement TXT SPF qui autorise vos expéditeurs, ou collez-en un existant pour valider la syntaxe et compter les requêtes DNS face à la limite de 10.

Le Générateur d’enregistrement SPF fonctionne entièrement dans votre navigateur. Les enregistrements sont construits et vérifiés sur votre appareil, sans requête DNS ni envoi.

Ouvrir le Générateur d’enregistrement DMARC

À propos de Générateur d’enregistrement SPF

Le Générateur d’enregistrement SPF construit l’unique enregistrement TXT qui dit aux serveurs de réception qui peut envoyer du courrier au nom de votre domaine. Cochez les fournisseurs par lesquels vous expédiez — Google Workspace, Microsoft 365, SendGrid — traduits en leurs mécanismes include documentés ; ajoutez vos propres serveurs par IP et choisissez le sort du reste du monde : ~all softfail pendant que vous découvrez encore des expéditeurs, -all rejet quand la liste est complète. Le vérificateur analyse tout enregistrement existant comme le ferait un récepteur : il vérifie le préfixe v=spf1, signale le ptr obsolète et le catastrophique +all, avertit des termes après all que les récepteurs ignorent, et compte les mécanismes à requête DNS face à la limite dure de 10 qui casse tant d’enregistrements en silence.

Fonctionnalités

Includes en un clic pour les grands fournisseurs
Mécanismes ip4 et ip6 avec validation d’adresses et CIDR
Interrupteurs a et mx pour les domaines à serveurs propres
Les quatre politiques all expliquées honnêtement
Compteur de requêtes DNS face à la limite de 10 de la RFC 7208
Tout est validé dans votre navigateur, sans requête distante

Comment utiliser Générateur d’enregistrement SPF

Cochez les fournisseurs qui expédient pour votre domaine
Ajoutez vos IP éventuelles et fixez la politique all
Copiez l’enregistrement dans un TXT du domaine racine
Ou passez en mode vérification et collez un enregistrement

Exemple

Entrée

Google Workspace + SendGrid · ~all

Sortie

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Deux requêtes DNS sur les dix permises — de la marge en réserve.

Erreurs courantes et dépannage

Le courrier échoue au SPF malgré un enregistrement correct. — Comptez les requêtes : include, a, mx, ptr, exists et redirect coûtent chacun une, et les includes imbriqués comptent aussi. Au-delà de dix, les récepteurs renvoient permerror. Aplatissez les includes peu utilisés en mécanismes ip4.
Le domaine a deux enregistrements SPF. — C’est une erreur permanente automatique. Fusionnez tous les mécanismes en une seule chaîne v=spf1 : il n’existe qu’un enregistrement SPF par domaine.
Tout passe — y compris le courrier usurpé. — Cherchez +all, qui autorise Internet entier et vaut pire que pas d’enregistrement. Utilisez -all, ou ~all pendant le déploiement, et associez DMARC.

Foire aux questions

Qu’est-ce qu’un enregistrement SPF et pourquoi en faut-il un ?: C’est un TXT DNS listant les serveurs autorisés à envoyer du courrier comme votre domaine. Les récepteurs y confrontent le serveur qui se connecte ; sans SPF, n’importe qui peut falsifier votre adresse.
Finir par ~all ou par -all ?: Commencez par ~all : les échecs sont marqués mais délivrés, un expéditeur oublié ne perd pas de courrier. Passez à -all quand les rapports montrent que chaque source légitime passe.
Qu’est-ce que la limite des 10 requêtes DNS ?: La RFC 7208 plafonne à dix les mécanismes à requête DNS par évaluation, comptés récursivement à travers les includes imbriqués. Au-delà, permerror — que beaucoup de récepteurs notent comme un échec. Chaque include de fournisseur coûte typiquement une à trois.
SPF seul arrête-t-il l’usurpation ?: Non. SPF vérifie l’expéditeur d’enveloppe, pas le De visible, et casse au transfert. Associez-le aux signatures DKIM et à une politique DMARC — les trois ensemble constituent la vraie authentification.

Outils associés

Générateur DMARC — Construit et vérifie les enregistrements DMARC TXT.
Calculateur CIDR / sous-réseaux — Calcule réseau, diffusion, plage d’hôtes et masque d’un bloc CIDR.
Recherche de ports — Ce qui tourne sur un port TCP ou UDP, par numéro ou nom.
Générateur d'adresse MAC — Générez des adresses MAC aléatoires ou préfixées par fabricant.
Convertisseur IPv6 ↔ IPv4 — Convertit entre IPv4 et IPv6 (mappée/étendue/compressée) et extrait l’IPv4 incorporée.
Calculateur de consommation de données — Convertit les habitudes de streaming en Go par mois.