Enregistrement SPF : le créer et le vérifier

SPF est défini par la RFC 7208, relue le 14 octobre 2026. Il se publie dans la zone DNS de votre domaine, comme les autres enregistrements DNS.

Lire un enregistrement SPF

Voici un enregistrement complet, pour un domaine qui envoie par deux services :

exemple.fr.  3600  IN  TXT  "v=spf1 include:_spf.fournisseur.exemple ip4:192.0.2.10 -all"

Il se lit de gauche à droite. Le serveur qui reçoit le message compare l'adresse IP du serveur qui envoie à chaque terme, et s'arrête au premier qui correspond.

Chaque terme peut porter un signe, qui donne le verdict quand il correspond : + autorise (c'est la valeur par défaut, on l'omet souvent), - refuse, ~ signale un échec atténué, que la messagerie traite plus souplement, et ? ne se prononce pas. C'est pourquoi la fin compte tant : -all dit que tout serveur absent de la liste est illégitime, ~all le dit avec moins de fermeté.

Ce que SPF vérifie, et ce qu'il ne vérifie pas

SPF contrôle l'adresse de l'enveloppe, celle que les serveurs échangent pendant la transmission, et pas l'adresse affichée dans le champ « De » que lit votre destinataire. Les deux sont souvent identiques, mais un fraudeur peut afficher votre adresse avec une enveloppe à lui. C'est le rôle de DMARC de relier les deux, avec la signature DKIM.

SPF ne survit pas non plus aux redirections : un message que votre correspondant fait suivre automatiquement vers une autre boîte repart d'un serveur que votre SPF ne connaît pas.

Créer ou corriger votre SPF

1. Faites la liste de tout ce qui envoie au nom de votre domaine : votre messagerie, mais aussi votre site (formulaires, commandes), votre outil de lettre d'information, votre logiciel de facturation. Chaque service publie dans sa documentation le terme à ajouter, en général un include:.
2. Regardez l'enregistrement actuel. Sous macOS ou Linux, dig +short TXT exemple.fr affiche les TXT du domaine ; sous Windows, nslookup -type=TXT exemple.fr. Repérez celui qui commence par v=spf1.
3. Réunissez tout dans un seul enregistrement. Un domaine ne doit porter qu'un SPF : s'il en a deux, le contrôle échoue en erreur pour tous les messages. Ajoutez les nouveaux termes à l'enregistrement existant, avant le all.
4. Publiez-le chez le gestionnaire de votre zone DNS (votre bureau d'enregistrement, Cloudflare…), en type TXT, sur le domaine lui-même, que l'interface note souvent « @ ».
5. Attendez la prise en compte, qui dépend de la durée de vie de l'ancien enregistrement : voir la propagation DNS.
6. Vérifiez sur un vrai message. Envoyez-en un vers une adresse Gmail, ouvrez-le, cliquez sur les trois points puis sur « Afficher l'original » : la ligne SPF doit indiquer PASS.

Les erreurs qui cassent un SPF

• Deux enregistrements SPF. C'est l'erreur la plus fréquente, souvent après l'ajout d'un service qui conseille de « créer » un SPF. Fusionnez-les.
• Plus de dix consultations. Les termes include, a, mx, ptr, exists et redirect déclenchent chacun une requête DNS, comme les include imbriqués dans ceux de vos fournisseurs. La RFC 7208 en limite le total à dix ; au-delà, le résultat est une erreur permanente et SPF ne protège plus rien. Remplacez ce qui peut l'être par des ip4.
• Un `+all`. Il autorise le monde entier à envoyer en votre nom : autant ne rien publier.
• Un service oublié. Avec -all, ses messages échouent. Gmail les refuse alors avec le code 550 5.7.26, selon sa liste des erreurs SMTP.

Le SPF d'une messagerie Hubspace

Si vous envoyez par notre serveur de messagerie, hub.hubspace.fr, votre SPF doit l'autoriser. Le modèle DNS de notre panneau Plesk propose pour cela :

v=spf1 +a +mx +a:hub.hubspace.fr -all

La partie qui compte est a:hub.hubspace.fr. Votre zone DNS est presque toujours ailleurs que chez nous, chez Netim, Cloudflare ou votre ancien bureau d'enregistrement : c'est là qu'il faut écrire ou compléter l'enregistrement.

Si votre messagerie reste chez un autre fournisseur, gardez son SPF tel qu'il est. N'y ajoutez a:hub.hubspace.fr que si des messages partent aussi par notre serveur, ce qui donne par exemple :

v=spf1 include:_spf.fournisseur.exemple a:hub.hubspace.fr -all

Questions fréquentes