Avant l’essor de l’emailing, les fournisseurs de messagerie menaient une vie relativement tranquille : ils géraient un petit nombre d’e-mails et combattaient efficacement les spammeurs et les pirates. Les choses ont radicalement changé depuis.
Internet devenant facilement accessible et l’emailing gagnant énormément en popularité, le nombre d’e-mails envoyés et reçus dans le monde a atteint le chiffre vertigineux de 306 milliards ces derniers temps. Cela ne poserait aucun problème s’il ne s’agissait que de newsletters envoyées par des professionnels de l’emailing ou de correspondance personnelle. Mais d’après des études récentes, plus de 80 % des e-mails envoyés aujourd’hui sont des spams ou des attaques. Cette situation catastrophique en matière de menaces en ligne met les fournisseurs de messagerie sous forte pression, car garder les échanges e-mail propres et sains est devenu très difficile.
Pour traiter le problème et offrir un environnement sûr aux utilisateurs, les fournisseurs de messagerie ont imaginé plusieurs solutions. Ils ont créé des filtres et divers protocoles pour évaluer si un e-mail est digne de confiance. Cela ne suffit pas, car la tâche se joue dans les deux sens. Les expéditeurs, surtout ceux qui mènent des campagnes emailing et s’appuient sur des services tiers, doivent aussi garantir l’authentification de leurs e-mails. Plus précisément, ils doivent créer un enregistrement SPF qui répond aux facteurs externes, comme l’usurpation d’identité.
Cela peut sembler compliqué, mais ce n’est pas sorcier. Pour voir le tableau d’ensemble et bien saisir ce qu’est un enregistrement SPF, nous allons expliquer ce que signifie SPF et voir comment créer des enregistrements SPF sans l’aide d’un spécialiste technique. Nous terminerons par quelques bons outils de vérification d’enregistrement SPF, qui évitent les erreurs banales et vous font gagner beaucoup de temps et d’argent.
Mais commençons par l’essentiel. Qu’est-ce que SPF ?
Qu’est-ce que SPF ?
Sender Policy Framework, autrement dit SPF, fait partie des standards publics ouverts les plus répandus dans la bataille sans fin contre le spam et les arnaques.
Pour saisir le sens de SPF, une seule chose à comprendre : SPF n’est qu’une liste d’expéditeurs que le propriétaire ou le service autorise officiellement à envoyer des e-mails. En un mot, c’est un fichier texte qui authentifie l’expéditeur d’un e-mail.
La mission principale de SPF est d’aider le fournisseur de messagerie à prendre la bonne décision sur un e-mail, en lui indiquant si le serveur de messagerie est autorisé à envoyer des newsletters pour un domaine donné.
Comment fonctionne exactement le processus d’authentification SPF ?
Comment fonctionne un enregistrement SPF TXT ?
Qu’est-ce qu’un enregistrement SPF ?
Avant d’aborder les principes de SPF, il est essentiel de comprendre ce qu’est un enregistrement SPF : SPF est un standard, pas un outil qui impose l’authentification.
En clair, un enregistrement SPF est un fichier texte qui recense les adresses IP autorisées à envoyer des e-mails en votre nom. Il peut contenir :
- l’adresse IP du serveur de messagerie interne (par exemple Microsoft Exchange) ou de votre serveur ;
- l’adresse IP de votre fournisseur d’accès à internet ;
- le serveur du fournisseur de messagerie de vos destinataires ;
- les adresses IP de serveurs tiers, comme les ESP les plus répandus.
Pour créer un enregistrement SPF, vous devez respecter un format et une syntaxe précis. Cela peut sembler délicat au premier abord, mais obtenir un enregistrement SPF correct et exact ne demande aucune compétence technique particulière. Tout est simple, et si vous préférez ne pas écrire la syntaxe à la main, notre SPF record generator construit un enregistrement valide en quelques clics. Nous verrons les bases un peu plus loin. Voyons d’abord comment SPF fonctionne.
Comment SPF fonctionne-t-il ?
Dans les grandes lignes, SPF fonctionne ainsi :
- Tout part du côté expéditeur, quand l’utilisateur ou le système publie un enregistrement SPF dans le DNS.
- Une fois l’e-mail envoyé et acheminé vers le destinataire, le serveur « destinataire » fait deux choses essentielles :
- il récupère l’enregistrement SPF à partir de l’adresse Return-Path présente dans les en-têtes de l’e-mail ;
- il interroge l’enregistrement SPF pour comparer l’adresse IP du serveur d’envoi à celles qui sont autorisées.
Si le message provient d’un serveur figurant dans la liste, le mécanisme établit un lien entre l’e-mail et le domaine e-mail, et lui attribue le statut « pass ».
Notez que même si ce lien n’est pas établi, le message peut tout de même être livré. C’est le fournisseur de messagerie destinataire qui décide en dernier ressort du sort de l’e-mail, selon sa politique et ses critères. Par ailleurs, tous les serveurs de messagerie ne privilégient pas l’authentification SPF, car elle a ses limites : la liste d’expéditeurs peut être inexacte, ou l’e-mail lui-même falsifié. SPF n’est que l’un des quelques éléments sur lesquels un fournisseur de messagerie s’appuie pour décider du sort d’un message.
Cela dit, même imparfait, l’enregistrement SPF apporte une couche de protection supplémentaire. Il ne faut pas le prendre à la légère. Voyons pourquoi il est important de créer un enregistrement SPF.
Pourquoi est-il important de créer un enregistrement SPF ?
Même si l’enregistrement SPF n’est que l’un des nombreux critères qu’un fournisseur de messagerie examine pour trancher le sort d’un e-mail, il reste incontournable. D’abord, il évite que vos e-mails soient rejetés sans autre examen, car certains fournisseurs ignorent les messages dont ils ne peuvent pas établir la légitimité. Il devient aussi vite un prérequis : sur les domaines que nous testons, 90 % publient un enregistrement SPF valide, ce qui veut dire que les 10 % qui n’en ont toujours pas se font remarquer pour de mauvaises raisons.
Avec un enregistrement SPF en place, vous avez en plus de vraies chances de :
- protéger votre domaine e-mail contre l’usurpation d’identité, les attaques par hameçonnage, les rançongiciels, les logiciels malveillants, les pertes financières et la fraude ;
- renforcer la sécurité globale de votre domaine ;
- améliorer la fiabilité perçue de votre site ;
- attester la légitimité de vos e-mails, ce qui compte beaucoup pour les serveurs de messagerie et les grands fournisseurs comme Gmail ou Outlook ;
- améliorer votre délivrabilité, qui pèse beaucoup sur les taux d’ouverture, les taux de conversion et l’ensemble de votre campagne emailing ;
- consolider votre réputation d’expéditeur, qui améliore à son tour la perception de votre marque.
Au-delà de ça, l’enregistrement SPF contribue au bon fonctionnement d’un serveur de messagerie et rend le web meilleur : un endroit où les utilisateurs se sentent en sécurité, apportent de la valeur aux autres et mènent leurs activités sereinement.
Créer un enregistrement SPF est également vital parce qu’il fait partie des méthodes d’authentification fondatrices sur lesquelles DMARC s’appuie, et DMARC joue un rôle décisif dans la façon dont un fournisseur de messagerie traite un e-mail reçu. Ce relais compte, car 42 % des domaines que nous contrôlons n’ont toujours aucune politique DMARC : un enregistrement SPF propre est donc souvent le seul signal d’authentification que ces expéditeurs fournissent.
Comment créer un enregistrement SPF ?
Comme nous l’avons vu, l’enregistrement SPF est un fichier texte correctement formaté qui recense les adresses IP de confiance dans une syntaxe précise. Passons en revue l’essentiel du processus pour que vous puissiez le mener seul.
Étape 1 : rassembler les adresses IP de confiance
Avant d’ouvrir le Bloc-notes (ou l’éditeur de texte que vous avez sous la main), posez les fondations. Commencez par repérer les serveurs de messagerie que vous utilisez pour envoyer des e-mails, à savoir :
- le serveur de l’entreprise, comme un Microsoft Exchange interne, ou un service en ligne comme Gmail.
- les ESP, ces services tiers que vous utilisez pour vos campagnes emailing, comme Mailchimp.
- le serveur de messagerie de votre fournisseur d’accès à internet.
- les services annexes, comme les prestataires de paiement ou les systèmes de support.
Il est en outre vital d’inclure les domaines inactifs pour les protéger des abus.
Étape 2 : dresser la liste des domaines
En règle générale, un enregistrement SPF ne concerne qu’un domaine. Vous devez donc lister tous les domaines que vous contrôlez, y compris ceux qui sont « parqués » et actuellement inutilisés.
La raison est banale : le pirate essaiera d’usurper tous vos domaines, qu’ils servent à envoyer ou non. Pour renforcer SPF, vous devez protéger l’ensemble du système, y compris les éléments inactifs. C’est la protection d’ensemble qui arrête le spam, l’usurpation d’identité et les autres menaces en ligne.
Étape 3 : créer l’enregistrement SPF
Avant de vous lancer dans l’enregistrement SPF, définissez ce que le côté « destinataire » doit faire de vos e-mails illégitimes. Vous pouvez par exemple demander au serveur de rejeter tous les e-mails non autorisés, ou de les accepter en les marquant comme spam.
Suivez ensuite cette routine simple en 5 étapes :
1. Ouvrez le fichier txt. Au début de la nouvelle ligne, saisissez « v=spf1 », qui signale un enregistrement SPF. N’utilisez que la version « spf1 » : les autres sont obsolètes et non prises en charge.
2. Listez les adresses IP autorisées. Cela donne ceci :
v=spf1 ip4:7.7.7.7
Si vous devez ajouter plusieurs adresses IP (c’est le cas le plus courant), listez-les une par une. Pas de virgules, seulement des espaces. Cela donne ceci :
v=spf1 ip4:7.7.7.7 ip4:9.9.9.9
3_._ Ajoutez les services tiers avec l’instruction « include », de cette façon, « include:thirdpartydomain.com ». Par exemple, si vous utilisez Mailchimp, l’enregistrement SPF obtenu peut ressembler à ceci :
v=spf1 ip4:7.7.7.7 ip4:9.9.9.9 include:servers.mcsv.net
Ici, servers.mcsv.net est un domaine Mailchimp vérifié.
Si vous utilisez la messagerie Google apps (Gmail), vous pouvez aussi ajouter l’instruction « _spf.google.com ». L’enregistrement SPF obtenu peut ressembler à ceci :
v=spf1 ip4:7.7.7.7 ip4:9.9.9.9 include:_spf.google.com include:servers.mcsv.net
Notez toutefois qu’il est vivement recommandé de n’avoir qu’un seul enregistrement SPF, à la fois pour Gmail et pour les services tiers, comme ceci
v=spf1 include:_spf.google.com include:servers.mcsv.net
4. Terminez chaque enregistrement SPF par le drapeau « all ». Celui-ci a plusieurs sens :
- « -all » veut dire : rejeter tous les e-mails non autorisés ;
- « ~all » veut dire : accepter mais marquer tous les e-mails non autorisés ;
- « +all » veut dire que n’importe quel serveur peut envoyer un e-mail depuis votre domaine, ce qui est fortement déconseillé, puisque le serveur reste ouvert à l’usurpation.
L’enregistrement SPF obtenu doit ressembler à ceci :
v=spf1 ip4:7.7.7.7 ip4:9.9.9.9 include:_spf.google.com include:servers.mcsv.net -all
5. Dernier point, protégez tous les domaines. Par sécurité, tous les domaines, même « parqués », doivent figurer dans l’enregistrement SPF. Pour cela, ajoutez la chaîne suivante à la fin du fichier
v=spf1 -all
Comme vous le voyez, créer un enregistrement SPF est simple. Rien n’est parfait pour autant : les erreurs arrivent tout le temps. Pour les éviter, gardez quelques règles de base en tête.
Des enregistrements SPF courants
Les règles de base de l’enregistrement SPF
Quelques règles de base à respecter pour obtenir un enregistrement SPF valide :
- utilisez un « mécanisme » pour décrire l’ensemble des hôtes ;
- n’utilisez chaque modificateur qu’une fois par enregistrement, et seulement à la fin ;
- commencez toujours l’enregistrement SPF par l’élément «
v=» ; - la version doit toujours être «
spf1» ; - supprimez les espaces superflus avant le début et après la fin de la chaîne ;
- relisez les mécanismes et les domaines référencés à la recherche de fautes de frappe ;
- supprimez toutes les majuscules dans les mécanismes ;
- n’utilisez pas de virgules ;
- ne mettez qu’un seul espace entre deux mécanismes ;
- limitez à dix les mécanismes qui interrogent le DNS dans un même enregistrement SPF ;
- n’utilisez pas plus de 255 caractères.
Dépannage
Il arrive qu’un enregistrement SPF sans erreur visible échoue quand même dans sa mission. Dans ce cas, deux choses à essayer.
La première consiste à copier-coller le contenu dans un éditeur de texte sans mise en forme, car certains traitements de texte, MS Word en particulier, ajoutent une mise en forme involontaire. Copier-coller depuis un e-mail directement dans le DNS provoque le même problème : nettoyez donc tout ce qui traîne.
La seconde consiste à vérifier la syntaxe de l’enregistrement SPF dans des outils de diagnostic. Ils testent la conformité des enregistrements SPF aux RFC et montrent si l’enregistrement a été publié correctement, ce qui vous donne des indices sur les erreurs.
Les outils pour valider un enregistrement SPF
Pour vérifier et revérifier un enregistrement SPF, voici quelques outils répandus :
- Unspam. Cet outil tout-en-un puissant fournit une masse d’informations utiles, dont un rapport sur l’enregistrement SPF. Son SPF checker dédié repère les doublons, contrôle les autorisations et bien plus encore.
- SPF Record Check by Dmarcian. Cet outil de diagnostic présente ses résultats sous forme graphique, pour que chacun en saisisse l’essentiel. Il indique si votre enregistrement SPF est correct et pointe les erreurs de formatage possibles.
- SPF Record Check by MXToolbox. MXToolbox effectue un lookup de l’enregistrement et valide l’enregistrement SPF TXT.
- SPF Record Testing Tool. En plus de tester les enregistrements SPF, cet outil répond à des questions essentielles : « l’enregistrement SPF est-il valide ? » ou « votre domaine possède-t-il déjà un enregistrement SPF ? ».
- SPF Record Check. Ce service combine trois outils en un : un outil de lookup, un générateur et un validateur.
Servez-vous aussi de ces outils pour contrôler régulièrement vos enregistrements SPF. Il est essentiel de voir si les adresses IP légitimes y figurent ou s’il faut les mettre à jour. Vous y gagnez en plus le point de vue du destinataire, pour affiner votre enregistrement SPF.
Comment ajouter un enregistrement SPF au DNS ?
Puisqu’il fait partie du DNS du domaine, l’enregistrement SPF se loge dans les entrailles de celui-ci. Il vous faut donc accéder à votre panneau de configuration DNS.
Si vous passez par un hébergeur, confiez le sujet à son support ou suivez un guide dédié pour mettre l’enregistrement SPF à sa place. En règle générale, tous les hébergeurs proposent un mécanisme propre et intuitif pour créer des enregistrements SPF.
Si vous exploitez votre propre serveur, cPanel offre une interface intuitive pour générer un SPF qui protège le courrier sortant.
Un point important : n’attendez pas que le nouvel enregistrement SPF prenne effet immédiatement. Cela demande en général de 24 à 48 heures. Prévoyez ce délai.
Conclusion
L’enregistrement SPF veille sur la sûreté des échanges e-mail depuis 2003. Il élimine une bonne partie des bounces, renforce la fiabilité des e-mails, protège la réputation de la marque et la réputation d’expéditeur, et sécurise le lien avec vos clients.
L’avantage de SPF, c’est que vous n’avez pas besoin d’en connaître les moindres détails pour en profiter : le serveur « destinataire » fait tout le travail. Il vous suffit de créer un enregistrement SPF adapté à votre cas.
Et même si SPF ne garantit pas une sécurité à 100 %, il vous apporte une couche de protection sans laquelle vous seriez exposé aux menaces en ligne. Associez-le à DKIM et à DMARC pour définir une politique d’authentification complète, capable de détecter la falsification à tous les niveaux.
