Mode d'emploi
- Cochez a : les adresses du domaine lui-même et mx : les serveurs de messagerie du domaine si le domaine envoie son propre courrier.
- Saisissez les réseaux de vos serveurs dans Réseaux IPv4 et Réseaux IPv6, et le domaine d'un fournisseur dans Inclure ces domaines.
- Choisissez le résultat pour les autres expéditeurs sous Tous les autres expéditeurs. -all est le choix strict.
- Copiez Enregistrement SPF (TXT) et publiez-le comme enregistrement TXT du domaine. Vérifiez que Requêtes DNS (limite 10) reste à 10 ou moins.
Comment un destinataire lit un enregistrement SPF
Un enregistrement SPF est un enregistrement TXT placé sur le domaine qu'il décrit. Il commence par v=spf1, puis liste des termes : a, mx, ip4, ip6 et include, chacun avec un qualificatif facultatif. Un destinataire les vérifie de gauche à droite, et le premier terme qui correspond donne le résultat : + réussite, - échec, ~ échec souple ou ? neutre. Le + est la valeur par défaut (RFC 7208, section 4.6.2).
- all correspond à tous les autres expéditeurs, et les termes qui le suivent sont ignorés (RFC 7208, section 5.1). Cette page écrit toujours all en dernier.
- Quand aucun terme ne correspond et qu'il n'y a pas de redirect, le résultat est neutre, comme si ?all terminait l'enregistrement (section 4.7).
La limite de 10 requêtes DNS
Les termes a, mx, ptr, exists, include et redirect coûtent chacun une requête DNS, de même que les requêtes que fait un enregistrement inclus. Un destinataire qui a besoin de plus de 10 requêtes pour une vérification renvoie une erreur (RFC 7208, section 4.6.4). Les termes ip4 et ip6 ne coûtent aucune requête, c'est pourquoi un fournisseur qui publie ses plages réseau peut être écrit avec des termes ip4 et ip6 au lieu d'un include.
Longueur et chaînes TXT
Une chaîne de caractères dans un enregistrement TXT contient au plus 255 caractères. Un enregistrement plus long s'écrit en plusieurs chaînes, et un destinataire les réunit sans espace (RFC 7208, section 3.3). Un enregistrement publié doit garder sa réponse DNS sous 512 octets (section 3.4).
Exemple : un domaine qui envoie depuis ses propres serveurs et un fournisseur
L'enregistrement v=spf1 a mx ip4:192.0.2.0/24 ip6:2001:db8:1::/48 include:_spf.example.net -all permet aux enregistrements d'adresse et aux serveurs de messagerie du domaine d'envoyer, permet aux deux réseaux d'envoyer, et permet aux expéditeurs autorisés par l'enregistrement de _spf.example.net d'envoyer. Tous les autres expéditeurs échouent (-all).
Les termes a, mx et include coûtent chacun une requête, et les deux termes réseau n'en coûtent aucune : l'enregistrement fait donc 3 requêtes. L'enregistrement de _spf.example.net ajoute ses propres requêtes, que cette page ne compte pas.
| Mesure | Valeur |
|---|---|
| Enregistrement | v=spf1 a mx ip4:192.0.2.0/24 ip6:2001:db8:1::/48 include:_spf.example.net -all |
| Requêtes DNS | 3 sur 10 requêtes DNS |
| Caractères | 78 |
Questions fréquentes
Faut-il utiliser -all ou ~all ?
-all demande aux destinataires d'échouer tout expéditeur que votre enregistrement ne liste pas : c'est le choix strict. ~all marque les autres expéditeurs en échec souple, ce que beaucoup de domaines utilisent pendant qu'ils vérifient que leur liste est complète. Si vous n'êtes pas sûr que la liste soit complète, commencez par ~all.
Pourquoi un enregistrement de plus de 10 requêtes échoue-t-il ?
Un destinataire fait au plus 10 requêtes DNS pour une vérification, et une vérification qui en demande davantage renvoie une erreur (RFC 7208, section 4.6.4). Retirez les include que vous n'utilisez plus, ou écrivez les plages publiées par votre fournisseur en termes ip4 et ip6, qui ne coûtent aucune requête.
Un enregistrement SPF doit-il être une seule chaîne ?
Non. Une chaîne TXT contient au plus 255 caractères, et un enregistrement plus long est publié en plusieurs chaînes entre guillemets, que le destinataire réunit sans espace (RFC 7208, section 3.3). La sortie Découpage de cette page montre les chaînes d'un enregistrement trop long pour une seule.
À quoi sert include ?
include:domaine demande au destinataire de vérifier l'enregistrement SPF de ce domaine dans le vôtre (RFC 7208, section 5.2). Les requêtes de cet enregistrement comptent dans votre limite de 10, si bien qu'un include de fournisseur peut coûter davantage que la requête que vous voyez ici.
Un enregistrement SPF suffit-il pour bloquer le courrier usurpé ?
Non. SPF vérifie le serveur qui a envoyé le message, puis DMARC vérifie que le domaine de la ligne From correspond (RFC 7489, section 3.1). Publiez aussi des signatures DKIM et une politique DMARC.
Ce générateur envoie-t-il mon domaine à quelqu'un ?
Non. L'enregistrement est construit dans votre navigateur à partir de ce que vous saisissez, et rien n'est recherché sur le réseau ni conservé.
Sources
- RFC 7208 (en anglais) : Sender Policy Framework (SPF)
- RFC 7489 (en anglais) : DMARC, section 3.1 sur l'alignement
- RFC 4291 (en anglais) : IP Version 6 Addressing Architecture
Chiffres et texte vérifiés pour la dernière fois le mardi 10 novembre 2026.