Échec SPF : le serveur d'envoi n'est pas autorisé

Ce que ça veut dire

Votre domaine a un enregistrement SPF, la liste des serveurs autorisés à envoyer des emails pour vous. Mais l'email que vous avez testé vient d'un serveur qui n'est pas dans cette liste. Le destinataire le voit comme un possible faux.

Le résultat peut s'afficher « fail » (votre enregistrement se termine par -all) ou « softfail » (votre enregistrement se termine par ~all).

Pourquoi c'est important

Un SPF en échec est un fort signal de spam. Si le DKIM ne rattrape pas la situation, le DMARC échoue aussi, et votre email peut aller en spam ou être refusé. Cela signifie en général qu'un de vos outils d'envoi a été oublié lors de la mise en place du SPF.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte que vous voulez vérifier, puis ouvrez le rapport. La ligne SPF affiche l'adresse IP du serveur qui a envoyé l'email et le domaine qui a été vérifié.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements DNS sans rien envoyer.

La section « Infrastructure d'envoi » du rapport vous indique aussi de quel fournisseur vient l'email. C'est votre indice.

Comment corriger

1. Identifiez l'expéditeur. Le test est-il parti de votre boîte habituelle, de votre site web, de votre boutique, d'un outil de newsletter ou d'une imprimante/d'un scanner ? Regardez le nom du fournisseur et l'adresse IP dans le rapport.
2. Trouvez la valeur SPF de ce service dans ses pages d'aide. Cherchez « SPF » suivi du nom du service.
3. Ajoutez-la à votre enregistrement SPF existant. Ne créez pas un deuxième enregistrement : modifiez celui que vous avez.

Exemples

Vous utilisez Google Workspace et avez oublié votre outil de newsletter :

v=spf1 include:_spf.google.com include:spf.newsletter-example.com ~all

Votre site web envoie les emails du formulaire de contact depuis son propre serveur, d'IP 203.0.113.10 :

v=spf1 include:spf.protection.outlook.com ip4:203.0.113.10 -all

Situations courantes

• Changement de fournisseur : le SPF liste encore l'ancien. Remplacez-le par le nouvel include.
• Microsoft 365 : la valeur est include:spf.protection.outlook.com.
• Google Workspace : la valeur est include:_spf.google.com.
• Site web (WordPress, boutique) : ils envoient souvent directement depuis l'hébergeur web. Le mieux est de faire passer les envois du site par votre fournisseur de messagerie ou par un service d'emailing grâce à une extension SMTP, pour qu'ils soient déjà couverts.
• Transfert : si un email est transféré par un autre serveur, le SPF peut échouer même quand tout est bien configuré. C'est le DKIM qui résiste au transfert : assurez-vous donc que le DKIM est aussi en place.

Quel domaine est vérifié ?

Le SPF vérifie l'expéditeur caché de l'« enveloppe » (aussi appelé Return-Path), pas toujours l'adresse que les gens voient. Beaucoup d'outils de newsletter y mettent leur propre domaine. Dans ce cas, le SPF passe pour leur domaine, et il vous faut un DKIM sur votre propre domaine pour que le DMARC passe. Voir la fiche sur l'alignement DMARC.

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures.

Envoyez un nouvel email de test depuis le service qui avait échoué. Le rapport doit maintenant indiquer que le SPF passe pour l'IP d'envoi. Si vous utilisez plusieurs outils, testez chacun d'eux.