GlossaireLe courrier
SPF
La définition
SPF est un enregistrement TXT publié à la racine d'un domaine qui énumère les serveurs autorisés à envoyer du courrier en son nom. Le serveur qui reçoit compare l'adresse du serveur expéditeur à cette liste et en tire un verdict : autorisé, refusé, ou sans avis.
Le premier des trois, et le plus simple
Sans SPF, n'importe quelle machine sur Internet peut ouvrir une connexion et annoncer qu'elle écrit depuis le domaine de votre client : le protocole de courrier, tel qu'il a été conçu, ne demande aucune preuve. SPF apporte cette preuve du côté du domaine, en une seule ligne publiée à sa racine.
Ce qu'il ne fait pas mérite d'être dit clairement : SPF ne protège pas l'adresse que le destinataire voit affichée dans sa messagerie. La vérification porte sur l'adresse annoncée pendant la conversation entre serveurs, et les deux peuvent différer — c'est exactement ce qu'exploitent les messages frauduleux. C'est DMARC qui exige qu'elles concordent.
Un enregistrement complet
Une plateforme autorisée, un serveur autorisé, et le sort réservé à tout le reste.
example.com. 3600 IN TXT "v=spf1 include:_spf.example.net ip4:203.0.113.25 -all"« include » reprend la liste d'un prestataire, dont les adresses peuvent changer sans vous concerner. Le terme final décide de ce qui n'a correspondu à rien : le tiret demande un rejet franc, un tilde demanderait un simple signalement.
L'erreur classique
Empiler les « include » au fil des outils ajoutés. L'évaluation d'un SPF s'arrête au bout de dix requêtes DNS, et au-delà elle échoue — même quand la liste est parfaitement juste. Le domaine devient suspect sans qu'aucune ligne n'ait l'air fausse.
Le geste qui l'évite : Compter les « include », y compris ceux que les prestataires ajoutent dans leurs propres listes, remplacer par des plages d'adresses ce qui ne bouge jamais, et retirer les outils qu'on n'utilise plus. Le budget de dix requêtes ne se négocie pas.
La référence : SPF est défini par la RFC 7208 : publication en TXT, un seul enregistrement par domaine, et plafond de dix requêtes DNS par évaluation.
Les termes voisins
Pour aller plus loin
Connaître les mots, c'est la moitié du travail
L'autre moitié, c'est de savoir lequel de vos domaines est en train de poser problème. DomainVigil surveille l'expiration, le DNS, les certificats et la réputation, et vous prévient avant le client.
Commencer gratuitementCinq domaines gratuits, pour toujours. Sans carte bancaire.