L'aplatissement SPF (flattening) : quand il aide et ce qui peut mal tourner

Ce que ça veut dire

Un enregistrement SPF peut déclencher au maximum 10 requêtes DNS. Chaque include: compte, tout comme les includes cachés à l'intérieur. Avec plusieurs services, on atteint vite 11 ou plus, et le SPF renvoie une erreur (permerror).

Aplatir (flattening) consiste à remplacer les includes par les adresses IP vers lesquelles ils pointent. Par exemple :

Before: v=spf1 include:_spf.example-provider.com ~all
After:  v=spf1 ip4:198.51.100.0/24 ip4:203.0.113.0/24 ~all

Les entrées ip4: et ip6: ne coûtent aucune requête, donc l'enregistrement est désormais bien sous la limite.

Pourquoi c'est important

L'aplatissement règle le problème des requêtes, mais apporte de nouveaux risques :

• Les fournisseurs changent leurs adresses IP. Google, Microsoft et les outils de newsletter ajoutent régulièrement des serveurs. Une copie aplatie ne suit pas. Les nouveaux serveurs échouent au SPF sans le moindre avertissement.
• Les enregistrements s'allongent. Les grands fournisseurs ont des dizaines de plages. Un SPF très long doit être découpé en plusieurs chaînes et peut dépasser les limites de taille du DNS.
• Personne ne s'en souvient. Un an plus tard, personne ne sait d'où viennent les adresses IP ni lesquelles peuvent être retirées.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil (/), copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte ou l'outil que vous voulez vérifier, puis ouvrez le rapport.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements SPF, DMARC et MX sans rien envoyer.

La ligne SPF du rapport et le scanner vous indiquent si votre enregistrement est valide ou s'il dépasse 10 requêtes.

Comment corriger

1. Essayez d'abord les solutions simples

• Retirez les includes des services que vous n'utilisez plus.
• Retirez les doublons, comme a et mx quand ils pointent vers des serveurs qui n'envoient pas d'emails.
• Vérifiez si un outil a vraiment besoin d'un include. Beaucoup d'outils de newsletter utilisent leur propre domaine de return path : le SPF est alors vérifié sur ce domaine, pas sur votre domaine principal.
• Déplacez les envois en masse sur un sous-domaine comme news.yourdomain.com, avec son propre enregistrement SPF.

2. Si vous devez quand même aplatir, n'aplatissez qu'une partie

Gardez les includes des grands fournisseurs qui changent souvent (votre fournisseur de messagerie), et n'aplatissez que les petits services stables dont les adresses changent rarement, comme votre propre serveur.

3. Préférez un service automatique

Certains services DNS ou DMARC proposent un aplatissement « dynamique » : ils vérifient chaque jour les adresses IP des fournisseurs et mettent l'enregistrement à jour pour vous. Si vous aplatissez à la main, programmez un rappel mensuel pour comparer votre liste avec celle, à jour, du fournisseur.

4. Gardez le DKIM opérationnel

Même si le SPF casse après un changement, une signature DKIM valide permet au DMARC de continuer à passer. Assurez-vous que chaque service signe en DKIM pour votre domaine.

Vérifiez que c'est corrigé

Relancez le scanner de domaine : votre enregistrement SPF doit être valide et sous les 10 requêtes. Envoyez ensuite un email de test depuis chaque service vers une nouvelle adresse de test Delivmail et vérifiez que le SPF passe. Refaites ces tests tous les quelques mois si vous avez aplati à la main.