Plusieurs enregistrements SPF sur un même domaine

Ce que ça veut dire

Le SPF est un enregistrement TXT de votre DNS qui commence par v=spf1. Les règles disent qu'un domaine ne peut avoir qu'un seul enregistrement de ce type. Si un serveur de réception en trouve deux, il ne sait pas lequel croire : il abandonne et renvoie un « permerror » (erreur permanente).

Cela arrive en général quand vous ajoutez un nouveau service et suivez son guide d'installation à la lettre : « ajoutez cet enregistrement TXT ». Vous vous retrouvez avec un enregistrement pour votre fournisseur de messagerie et un autre pour votre outil de newsletter.

Pourquoi c'est important

Avec deux enregistrements SPF, le SPF échoue pour tous vos emails, pas seulement pour le nouveau service. Vos messages perdent une preuve d'identité importante, le DMARC peut échouer, et la livraison vers Gmail et Outlook en souffre.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte que vous voulez vérifier, puis ouvrez le rapport. Le SPF affiche « permerror » quand plusieurs enregistrements sont trouvés.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements DNS sans rien envoyer.

Le scanner de domaine affiche chaque enregistrement SPF trouvé, pour que vous puissiez les comparer côte à côte.

Comment corriger

1. Ouvrez votre fournisseur DNS et listez tous les enregistrements TXT du domaine lui-même (hôte @ ou vide).
2. Repérez chaque enregistrement qui commence par v=spf1. Les autres enregistrements TXT (validation de site Google, etc.) sont normaux et doivent rester.
3. Fusionnez-les en une seule ligne. Gardez un seul v=spf1 au début, mettez tous les include:, ip4: et autres éléments au milieu, et un seul ~all ou -all à la fin.
4. Enregistrez la ligne fusionnée et supprimez les autres.

Exemple

Avant, deux enregistrements :

v=spf1 include:_spf.google.com ~all
v=spf1 include:servers.mcsv.net ~all

Après, un seul enregistrement :

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

Conseils

• Si les deux enregistrements se terminent différemment (~all et -all), gardez ~all jusqu'à être sûr que tous vos expéditeurs sont listés.
• Les anciens enregistrements de type « SPF » (et non TXT) sont obsolètes. Si votre fournisseur DNS en affiche encore un, supprimez-le et ne gardez que l'enregistrement TXT.
• Fusionner beaucoup de services peut vous faire dépasser la limite de 10 requêtes DNS. Le scanner de domaine affiche le total : restez à 10 ou moins.
• Les sous-domaines sont indépendants : yourdomain.com et news.yourdomain.com peuvent avoir chacun leur propre enregistrement SPF unique.

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures.

Relancez le scanner de domaine : un seul enregistrement SPF doit apparaître, marqué comme valide. Envoyez ensuite un email de test depuis la page d'accueil. Le SPF doit maintenant passer.