Vérificateur SPF

Le Sender Policy Framework (RFC 7208) est un enregistrement DNS TXT qui liste les serveurs autorisés à envoyer des emails au nom d'un domaine. Quand un serveur de messagerie reçoit un message, il vérifie le domaine de l'expéditeur d'enveloppe, récupère son enregistrement SPF, puis évalue l'adresse IP du serveur émetteur par rapport aux mécanismes qu'il contient.

SPF seul n'empêche pas l'usurpation : il indique seulement au destinataire si le serveur émetteur était autorisé. Il devient réellement efficace contre le spoofing une fois combiné avec DMARC, qui décide du sort des emails qui échouent au contrôle.

• Un domaine publie un seul enregistrement SPF, toujours un TXT commençant par v=spf1
• Les mécanismes sont évalués de gauche à droite ; le premier qui correspond détermine le résultat
• L'enregistrement n'a aucun effet sur les emails entrants - il autorise uniquement les expéditeurs sortants pour ce domaine

Un enregistrement type ressemble à ceci : v=spf1 ip4:203.0.113.10 include:_spf.google.com include:sendgrid.net -all

Chaque terme après v=spf1 est un mécanisme. Les plus courants : ip4 et ip6 autorisent des adresses ou plages précises directement, a et mx autorisent les hôtes résolus par les propres enregistrements A/MX du domaine, include importe l'enregistrement SPF d'un autre domaine (généralement celui d'un prestataire de messagerie), et all est le mécanisme fourre-tout qui capte tout ce qui n'a pas encore trouvé de correspondance.

Un qualificateur peut préfixer chaque mécanisme : + (pass, valeur par défaut si omis), - (fail), ~ (softfail), ? (neutral). Le qualificateur du mécanisme all est ce que la plupart des guides désignent quand ils parlent de "rigueur SPF".

-all (hardfail) demande aux serveurs destinataires de rejeter les emails provenant de tout serveur non listé explicitement. ~all (softfail) leur demande de les accepter mais de les marquer comme suspects, en général en ajustant un score anti-spam plutôt qu'en rejetant directement.

La plupart des déploiements SPF démarrent en ~all le temps de cartographier toute l'infrastructure d'envoi, puis passent en -all une fois que chaque source légitime - outil CRM, plateforme de facturation, scripts internes - est confirmée dans l'enregistrement. Un enregistrement sans mécanisme all, ou utilisant +all, n'apporte aucun contrôle réel : +all autorise n'importe quel serveur sur internet à envoyer des emails au nom du domaine, exactement ce que SPF est censé empêcher.

La RFC 7208 plafonne l'évaluation SPF à 10 recherches DNS par contrôle. Les mécanismes qui comptent dans cette limite sont include, a, mx, ptr et exists - chacun déclenche au moins une requête DNS supplémentaire lors de l'évaluation. ip4 et ip6 ne comptent pas, puisqu'ils ne nécessitent aucune résolution.

L'imbrication est la cause habituelle d'un dépassement : un include: pointant vers l'enregistrement SPF d'un prestataire hérite des propres recherches de ce prestataire, et une chaîne de trois ou quatre prestataires (plateforme d'emailing, support client, CRM, emails transactionnels), chacun apportant ses propres include et mécanismes a/mx, atteint vite la limite. Au-delà de 10, la RFC 7208 impose aux évaluateurs de renvoyer un permerror, et la plupart des serveurs destinataires traitent alors l'enregistrement comme un échec - l'inverse de ce que visait le propriétaire du domaine.

Aplatir la chaîne - remplacer les include par les plages ip4/ip6 littérales qu'ils résolvent - supprime le coût en recherches mais oblige à ré-aplatir dès que le prestataire change ses IP d'envoi, ce qui échange un problème de conformité contre un problème de maintenance.

Le vérificateur regroupe ses constats sous une catégorie SPF, aux côtés des résultats DMARC, DKIM, MX et listes noires. "SPF Record Found" confirme la présence d'un enregistrement TXT v=spf1 et affiche la chaîne brute. "SPF Syntax" passe quand l'enregistrement commence correctement par v=spf1. "SPF All Mechanism" indique quel qualificateur utilise le mécanisme all et le traduit en pass, warning ou fail selon qu'il s'agit de -all, ~all ou +all/absent. "SPF Mechanisms" signale si l'enregistrement autorise réellement des serveurs d'envoi. "SPF DNS Lookups" compte les mécanismes consommant des recherches et bascule en avertissement au-delà de 7, puis en échec au-delà de la limite de 10.

Si aucun enregistrement v=spf1 n'est trouvé, ou si le domaine en publie plusieurs, le vérificateur remonte un seul résultat en échec plutôt que de parcourir chaque sous-contrôle - un domaine ne peut pas avoir une posture SPF valide avec zéro ou plusieurs enregistrements, le reste de l'analyse serait sans objet.