SPF ~all ou -all : quelle fin choisir ?

Ce que ça veut dire

Un enregistrement SPF liste les serveurs autorisés à envoyer des emails pour votre domaine. Sa dernière partie, appelée mécanisme « all », dit quoi faire de tous les autres serveurs :

• ~all (échec léger) : « les autres serveurs ne sont probablement pas à moi, traitez l'email avec méfiance ».
• -all (échec strict) : « les autres serveurs n'ont pas le droit d'envoyer pour moi ».
• ?all (neutre) : « je ne me prononce pas ». Il ne protège presque pas.
• +all : « tout le monde peut envoyer pour moi ». Ne l'utilisez jamais.

v=spf1 include:_spf.google.com ~all
v=spf1 include:_spf.google.com -all

Pourquoi c'est important

• Avec un DMARC en place, la différence est faible. La plupart des grandes messageries, comme Gmail et Outlook, décident d'après votre politique DMARC, pas d'après la seule fin du SPF. Un échec ou un échec léger du SPF comptent tous les deux comme « le SPF n'a pas passé » pour le DMARC.
• Sans DMARC, certains serveurs refusent directement les échecs -all, alors qu'ils marquent seulement comme suspects les échecs ~all.
• Si vous avez oublié un service d'envoi dans votre liste, -all peut faire refuser ses emails, surtout quand ils sont transférés ou n'ont pas de DKIM.
• -all dit clairement au monde que votre liste est complète, ce qui aide à protéger votre domaine contre l'usurpation.

Comment vérifier

• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire votre enregistrement SPF et sa fin.
• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte ou l'outil que vous voulez vérifier, puis ouvrez le rapport. La ligne SPF affiche « pass », « softfail » ou « fail » pour le serveur qui l'a envoyé.

Comment choisir

Utilisez ~all quand

• Vous êtes en pleine mise en place et pas encore sûr que chaque service est listé.
• Certains de vos emails ne sont pas signés avec DKIM.
• Vos emails sont souvent transférés (par exemple vers des adresses universitaires ou d'anciens fournisseurs d'accès) et vous n'avez pas de DKIM pour les sauver.

Utilisez -all quand

• Vous avez listé chaque service qui envoie pour vous, et vérifié chacun avec un email de test.
• Tous signent avec DKIM sur votre domaine.
• Vous avez un DMARC et ses rapports ne montrent aucune source légitime en échec.
• Le domaine n'envoie aucun email : utilisez alors v=spf1 -all.

Comment passer de l'un à l'autre sans risque

1. Commencez avec ~all et publiez un enregistrement DMARC avec une adresse rua pour recevoir les rapports.
2. Lisez les rapports pendant deux à quatre semaines. Le tableau de bord payant de Delivmail inclut un suivi DMARC qui les transforme en une liste lisible d'expéditeurs.
3. Ajoutez au SPF tout service manquant, et configurez le DKIM pour lui.
4. Changez la fin en -all chez votre fournisseur DNS. Modifiez l'enregistrement existant ; n'ajoutez pas un second enregistrement SPF.
5. Continuez à surveiller les rapports pendant quelques semaines.

Retenez : la vraie protection vient d'un DMARC avec une politique quarantine ou reject. La fin du SPF est un détail à côté.

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures.

Relancez le scanner de domaine pour voir la nouvelle fin, puis envoyez un email de test depuis chacun de vos services d'envoi. Chaque rapport doit indiquer que le SPF passe.