Construisez un enregistrement SPF correct à partir de vos véritables sources d’envoi : vos propres serveurs, les include publiés par vos plateformes d’envoi et des plages d’IP précises, avec la bonne politique all et un décompte en direct des 10 requêtes DNS autorisées par SPF. L’outil est gratuit, s’exécute dans votre navigateur, sans inscription et sans rien conserver.
L’enregistrement SPF est valide
v=spf1 include:_spf.google.com ~all Publiez ceci comme un unique enregistrement TXT sur votre domaine d’envoi. Un domaine ne peut avoir qu’un seul enregistrement SPF.
Vous avez généré un enregistrement ? Vérifiez qu’il se résout avec le SPF checker, puis voyez gratuitement où arrivent vos e-mails avec un test de placement en boîte de réception.
Créez un compte Unspam gratuit pour enregistrer vos résultats et relancer ces vérifications à tout moment, afin de repérer une configuration défaillante avant qu’elle ne vous coûte cher. Sans carte bancaire.
Un enregistrement SPF (Sender Policy Framework) est un unique enregistrement DNS TXT qui liste les serveurs autorisés à envoyer des e-mails pour votre domaine. Ce générateur assemble cet enregistrement à partir de choix simples : vos propres hôtes a et mx, les mécanismes include fournis par vos prestataires d’envoi et d’éventuelles adresses IP fixes, puis il le referme avec le qualificateur all qui définit la politique applicable à tous les autres. À mesure que vous construisez, il compte les requêtes DNS que votre enregistrement déclenchera, puisque SPF en autorise 10 au maximum, et valide le résultat avec les mêmes contrôles que notre SPF checker. Publiez le résultat sous forme d’un seul enregistrement TXT sur votre domaine d’envoi pour contribuer à satisfaire les exigences d’authentification de Gmail, Yahoo et Microsoft.
Chaque plateforme par laquelle vous envoyez (Google Workspace, Microsoft 365, votre ESP) publie une valeur include telle que _spf.google.com ou sendgrid.net. Ajoutez-en une par ligne et le générateur transforme chacune en mécanisme include:.
N’activez ces options que si l’hébergeur web (a) ou les serveurs de messagerie (mx) de votre domaine envoient aussi des e-mails. Chacune consomme une de vos 10 requêtes DNS : laissez-les désactivées si vous n’envoyez pas réellement depuis ces hôtes.
Listez les adresses IP fixes ou les plages CIDR depuis lesquelles vous envoyez directement. Contrairement aux include, ip4 et ip6 ne consomment aucune requête DNS : privilégiez-les donc pour vos IP d’envoi statiques.
Il définit la politique applicable aux sources non listées : -all fait échouer strictement les messages non autorisés (recommandé), ~all les fait échouer en souplesse (une valeur par défaut prudente le temps de confirmer chaque expéditeur), et ?all est neutre. Le générateur n’émet jamais +all, qui autoriserait n’importe qui.
Le compteur en direct additionne les mécanismes include, a et mx de votre enregistrement. Restez à 10 ou en dessous, sinon les serveurs de réception renvoient une PermError et SPF échoue. Aplatissez ou supprimez les include inutiles si vous dépassez.
Chaque mécanisme include, a et mx coûte une requête DNS, et les include imbriqués ajoutent les leurs. Au-delà de 10, l’évaluation renvoie une PermError et SPF échoue. Remplacez les include les plus lourds par les plages ip4 précises qu’ils couvrent, ou retirez les prestataires que vous n’utilisez plus.
Un domaine ne peut avoir qu’un seul enregistrement TXT commençant par v=spf1. Si vous envoyez via plusieurs prestataires, combinez-les dans un enregistrement unique comportant plusieurs mécanismes include, plutôt que d’ajouter des enregistrements séparés.
Sans mécanisme all de clôture, la politique est incomplète et DMARC n’a rien de ferme sur quoi s’aligner. Terminez l’enregistrement par ~all pendant vos tests, puis par -all une fois chaque expéditeur confirmé.
Si vous envoyez depuis une IP statique, listez-la en ip4 ou ip6 plutôt que de l’envelopper dans un include. Les mécanismes d’IP directe ne coûtent aucune requête et vous maintiennent sous la limite.
Terminer un enregistrement par +all indique aux serveurs de réception que n’importe quel serveur peut envoyer au nom de votre domaine, ce qui désactive SPF et ouvre la porte à l’usurpation. Utilisez -all ou ~all à la place.