« 550 5.7.23 The message was rejected because of Sender Policy Framework violation » (échec SPF) : comment le corriger

Ce que ça veut dire

Le serveur destinataire a consulté l'enregistrement SPF de votre domaine et a constaté que le serveur qui a envoyé l'email n'est pas autorisé à envoyer pour votre domaine. Avec Microsoft 365 et Exchange, le message d'erreur ressemble à ceci :

550 5.7.23 The message was rejected because of Sender Policy Framework violation

D'autres serveurs utilisent des formulations plus courtes. Le message ressemble généralement à l'un de ceux-ci :

550 5.7.1 SPF fail - not authorized
550 5.7.1 Rejected by SPF

Le SPF (Sender Policy Framework) est un enregistrement TXT dans le DNS de votre domaine qui liste les serveurs autorisés à envoyer des emails pour lui. Quand un serveur absent de la liste envoie un email, le SPF « échoue ». Si l'enregistrement se termine par -all (« refuser tout le reste »), beaucoup de destinataires refusent l'email immédiatement.

Pourquoi cela arrive

• Un expéditeur manque dans le SPF. Vous avez commencé à utiliser un outil de newsletter, un CRM, une boutique en ligne, un outil de facturation ou un nouveau fournisseur de messagerie, sans l'ajouter.
• L'IP de votre serveur a changé (nouvel hébergement, nouveau VPS) et le SPF indique toujours l'ancienne.
• Deux enregistrements SPF existent pour le domaine. C'est invalide, et le SPF échoue pour tous les expéditeurs.
• Trop de requêtes. Le SPF n'autorise que 10 requêtes DNS (chaque include:, a ou mx compte). Au-delà, le SPF renvoie une erreur que certains destinataires traitent comme un échec.
• Le transfert. L'email a été envoyé à une adresse qui le transfère vers Microsoft 365 ou une autre boîte. Le serveur qui transfère n'est pas dans votre SPF, donc la vérification échoue à cette étape.
• Quelqu'un d'autre usurpe votre domaine. Dans ce cas, le refus signifie que le SPF fait son travail.

Comment vérifier

1. Lancez un test Delivmail. Depuis l'application ou le serveur qui a reçu l'erreur, envoyez un email à l'adresse unique de la page d'accueil (/). Le rapport affiche l'IP d'envoi, le domaine vérifié par le SPF (l'expéditeur d'enveloppe, ou Return-Path) et le résultat SPF avec sa raison.
2. Scannez votre domaine. Utilisez /domain-scanner pour lire votre enregistrement SPF. Il indique s'il y a deux enregistrements, une erreur de syntaxe ou trop de requêtes.
3. Lisez les en-têtes du message d'erreur. Il contient souvent une ligne comme Received-SPF: Fail avec l'IP qui a été vérifiée.

Comment corriger

1. Identifiez le service d'envoi. Le rapport Delivmail affiche l'IP. La documentation du service indique son include SPF, par exemple include:spf.protection.outlook.com pour Microsoft 365 ou include:_spf.google.com pour Google Workspace.
2. Ajoutez-le à votre unique enregistrement SPF. Modifiez l'enregistrement existant, n'en créez pas un second :

   v=spf1 include:spf.protection.outlook.com include:spf.newsletter-example.com ip4:203.0.113.10 -all

3. Fusionnez les doublons. Si vous avez deux enregistrements v=spf1, regroupez-les en un seul.
4. Restez sous les 10 requêtes. Retirez les services que vous n'utilisez plus. Remplacez a et mx par ip4: quand vous connaissez l'IP.
5. Envisagez ~all pendant vos tests. Il marque les expéditeurs inconnus comme suspects au lieu de les refuser. Revenez à -all une fois que tout passe.
6. Configurez aussi le DKIM. Le DKIM signe l'email et résiste au transfert. Avec le DKIM et le DMARC en place, les destinataires s'appuient moins sur le SPF seul.

Si le transfert est en cause

Demandez à la personne de transférer autrement (une règle de boîte qui redirige avec SRS, ou une récupération directe du courrier), ou assurez-vous que vos emails sont signés en DKIM pour que le DMARC puisse quand même passer.

Vérifiez que c'est corrigé

Attendez que la modification DNS se propage (souvent quelques minutes, jusqu'au TTL de l'enregistrement, parfois quelques heures). Lancez le scanner de domaine pour confirmer qu'il n'y a qu'un seul enregistrement SPF valide, puis envoyez un nouveau test Delivmail depuis le même service : le SPF doit afficher pass. Enfin, renvoyez l'email à l'adresse qui l'avait refusé.