Erreur SPF : trop de requêtes DNS (permerror)

Ce que ça veut dire

Votre enregistrement SPF est une liste d'expéditeurs autorisés. Certains éléments de cette liste, comme include:, a, mx et redirect=, obligent le serveur de réception à consulter d'autres enregistrements DNS. Chaque include peut aussi contenir d'autres includes.

Les règles du SPF fixent une limite stricte : 10 requêtes au total. Au-delà, les destinataires s'arrêtent et renvoient un « permerror », c'est-à-dire une « erreur permanente ». Votre SPF est alors considéré comme cassé.

Pourquoi c'est important

Un SPF cassé, c'est presque aussi grave que pas de SPF du tout. Vos vrais emails peuvent échouer au SPF, ce qui peut aussi faire échouer le DMARC, et ils finissent en spam ou refusés. Cela arrive souvent petit à petit : chaque fois que vous ajoutez un nouvel outil (newsletter, CRM, support client), vous ajoutez un include, jusqu'au jour où vous dépassez 10.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte que vous voulez vérifier, puis ouvrez le rapport. La ligne SPF affiche « permerror » quand la limite est dépassée.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements DNS sans rien envoyer.

Le scanner de domaine indique aussi combien de requêtes votre enregistrement utilise, par exemple « 12/10 requêtes DNS ».

Comment corriger

1. Retirez les services que vous n'utilisez plus. Les anciens outils de newsletter et les anciens hébergeurs sont les coupables les plus fréquents.
2. Supprimez les doublons. Un même include écrit deux fois compte quand même deux fois.
3. Retirez a et mx s'ils ne servent pas. Ils ne sont utiles que si le serveur de votre site web ou votre serveur de réception envoie aussi des emails. Avec Google Workspace ou Microsoft 365, l'include couvre déjà ce cas.
4. Remplacez par des adresses IP quand c'est possible. Les entrées ip4: et ip6: ne coûtent aucune requête. Ne le faites que pour des serveurs que vous gérez et dont les adresses IP ne changent pas.
5. Déplacez certains expéditeurs vers un sous-domaine. Les emails marketing peuvent partir de news.yourdomain.com, avec son propre enregistrement SPF et ses propres 10 requêtes.

Exemple

Avant (trop de requêtes) :

v=spf1 a mx include:_spf.google.com include:spf.protection.outlook.com include:servers.mcsv.net include:sendgrid.net include:mail.zendesk.com include:spf.oldtool.example ~all

Après (l'entreprise a quitté Microsoft 365 et l'ancien outil, et sa messagerie est gérée par Google) :

v=spf1 include:_spf.google.com include:servers.mcsv.net include:sendgrid.net include:mail.zendesk.com ~all

Un mot sur l'« aplatissement SPF »

Certains outils proposent d'« aplatir » votre SPF en remplaçant les includes par de longues listes d'adresses IP. Ça fonctionne, mais si votre fournisseur change ses adresses IP, votre SPF devient faux sans que vous le sachiez. Essayez d'abord les étapes ci-dessus.

Autres causes de permerror

• Une faute de frappe, comme v=spf1 écrit v=spf, ou un include: sans valeur.
• Deux enregistrements SPF sur le même domaine (voir la fiche sur les enregistrements SPF multiples).

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures.

Relancez le scanner de domaine : le nombre de requêtes doit être de 10 ou moins et l'enregistrement doit être valide. Envoyez ensuite un email de test depuis la page d'accueil et vérifiez que le SPF passe.