Le SPF se termine par +all ou ?all (trop permissif)

Ce que ça veut dire

Un enregistrement SPF liste les serveurs autorisés à envoyer des emails pour votre domaine, et se termine par une règle pour tous les autres serveurs. Cette dernière partie est le mécanisme all, et le symbole placé devant décide de ce qui se passe :

• -all (fail) : les autres serveurs ne sont pas autorisés.
• ~all (soft fail) : les autres serveurs sont suspects.
• ?all (neutral) : aucun avis sur les autres serveurs.
• +all (pass), ou simplement all : tous les serveurs du monde sont autorisés.

Par exemple, cet enregistrement semble correct à première vue mais autorise tout le monde :

v=spf1 include:_spf.google.com +all

Pourquoi c'est important

• Avec +all, le serveur d'un spammeur passe le SPF pour votre domaine. Votre enregistrement ne vous protège plus, et les serveurs de réception y voient le signe d'une configuration négligée.
• Avec ?all, le SPF ne donne aucun résultat utile pour les serveurs inconnus : il n'apporte donc rien contre l'usurpation.
• Certains filtres anti-spam ajoutent des points aux emails des domaines qui ont ces terminaisons.

Ces terminaisons sont généralement ajoutées « pour que ça marche » quand un email échouait au SPF. La vraie solution est d'ajouter l'expéditeur manquant à la liste.

Comment vérifier

Analysez votre domaine sur /domain-scanner pour voir votre enregistrement SPF. Ou envoyez un email de test à votre adresse sur la page d'accueil (/) : la section SPF affiche l'enregistrement utilisé.

Comment corriger

1. Listez tous les services qui envoient des emails pour vous : votre fournisseur de messagerie, votre outil de newsletter, votre boutique en ligne, votre CRM, votre outil de facturation, le formulaire de contact de votre site, vos propres serveurs.
2. Vérifiez que chacun figure dans l'enregistrement, avec la valeur include: indiquée dans ses pages d'aide ou un ip4: pour votre propre serveur.
3. Remplacez la terminaison chez votre fournisseur DNS. Modifiez l'enregistrement TXT existant ; ne créez pas un deuxième enregistrement SPF.

Point de départ sûr :

v=spf1 include:_spf.google.com include:spf.newsletter-example.com ~all

Une fois sûr que la liste est complète :

v=spf1 include:_spf.google.com include:spf.newsletter-example.com -all

Lequel choisir ?

• ~all est un bon choix tant que vous cherchez encore tous vos expéditeurs, et fonctionne bien avec le DMARC.
• -all est le plus strict. Utilisez-le une fois que vos rapports DMARC montrent que tous vos vrais expéditeurs passent.
• Pour un domaine qui n'envoie jamais d'email : v=spf1 -all.

Surveillez les problèmes après le changement

Si un service oublié comptait sur +all, ses emails vont maintenant échouer au SPF. Les rapports agrégés DMARC sont le moyen le plus simple de le repérer : ils montrent chaque IP qui envoie avec votre domaine et si elle a passé les contrôles. La surveillance DMARC du tableau de bord payant lit ces rapports pour vous.

Vérifiez que c'est corrigé

Attendez la mise à jour du DNS, en général de quelques minutes à quelques heures. Relancez /domain-scanner : l'enregistrement doit se terminer par ~all ou -all. Envoyez ensuite un test depuis chacun de vos services d'envoi vers l'adresse de la page d'accueil et vérifiez que le SPF passe toujours pour tous.