Générateur et explicateur d'enregistrements DNS SPF

Générateur et explicateur d'enregistrements DNS SPF

Générez, analysez et validez des enregistrements TXT SPF conformes à la RFC 7208 avec blocs CIDR IPv4/IPv6, MX, A, mécanismes include et politiques SoftFail/HardFail.

Modèles :
Mécanismes de requête DNS (a, mx, include, exists)
Fournisseurs de messagerie courantsPréréglages de messagerie et SaaS courants
Includes tiers autorisés (include:)
include:_spf.google.cominclude:sendgrid.net
Adresses IPv4 et CIDR autorisées (ip4:)
ip4:198.51.100.24/32
Adresses IPv6 et CIDR autorisées (ip6:)
Mechanisms: 6Requêtes DNS : 3 / 10
Length: 80 / 255 Caractères :Note A+
Valeur DNS TXT
80 chars
v=spf1 mx ip4:198.51.100.24/32 include:_spf.google.com include:sendgrid.net ~all
Paramètres de l'enregistrement DNS
Type d'enregistrement (TXT)TXT
Hôte / Sous-domaine (@ pour apex)@ (ou mycompany.io)
TTL (Durée de vie en secondes)3600 (1 heure recommandée)
Syntaxe de zone BIND
; RFC 7208 SPF TXT Resource Record for mycompany.io
; Host/Name: @ (or mycompany.io.)
; Record Type: TXT
; TTL: 3600 seconds ({t.lbl1HourRecommended || "1 hour recommended"})

mycompany.io.    IN    TXT    "v=spf1 mx ip4:198.51.100.24/32 include:_spf.google.com include:sendgrid.net ~all"

; --- Cloudflare DNS API / Web Dashboard ---
; Type: TXT
; Name: @
; Content: v=spf1 mx ip4:198.51.100.24/32 include:_spf.google.com include:sendgrid.net ~all
; TTL: Auto (or 3600)
; Proxy status: DNS only
Policy:~all
Lookups: 3 / 10 Ready
Résolutions DNS3 / 10 utiliséesRFC 7208 Section 4.6.4
Longueur du texteSoftFail (~all)Compatible avec l'alignement DMARC
Politique d'applicationClasse A+ (100/100)Zéro fuite de données

Évaluation 100% côté client & confidentialité

Vos domaines, adresses IP de serveurs de messagerie internes et configurations d'envoi sont traités exclusivement dans votre navigateur. Aucune requête DNS ni télémétrie n'est transmise à des serveurs tiers.

Conformité RFC 7208 & budget de 10 résolutions

Garantit une stricte conformité à la RFC 7208 : détecte le dépassement de la limite de 10 résolutions DNS (évitant les rejets PermError), valide la limite de 255 caractères et signale les mécanismes ptr obsolètes.

Préréglages SaaS, BIND & diagnostics CLI

Intègre des préréglages SaaS pour Google Workspace, Microsoft 365, SendGrid, Amazon SES et Mailgun. Exporte les valeurs TXT DNS, la syntaxe BIND et les commandes de test dig/nslookup.

Référence technique et guide d'architecture

Guide Développeur : Générateur et Analyseur d'Enregistrements DNS SPF — Guide de référence

Générez, analysez et validez des enregistrements TXT SPF conformes à la RFC 7208 avec blocs CIDR IPv4/IPv6, MX, A, mécanismes include et politiques SoftFail/HardFail.

Paramètres clés et contrôles

Directive du Mécanisme all (~all / -all / ?all / +all)enum ('~all' | '-all' | '?all' | '+all')

Spécifie la politique d'application pour les expéditeurs ne correspondant à aucun mécanisme précédent. '~all' (SoftFail) accepte en marquant comme suspect ; '-all' (HardFail) ordonne aux serveurs destinataires de rejeter fermement les courriels non autorisés.

Par défaut : ~all
Mécanismes Include (include:domaine)string[] (FQDNs séparés par des espaces)

Autorise des services de messagerie tiers (tels que Google Workspace, SendGrid ou Microsoft 365) en interrogeant leurs enregistrements SPF respectifs. Chaque include consomme au moins une requête DNS sur la limite stricte de 10 de la RFC 7208.

Par défaut : _spf.google.com
Adresses et Plages CIDR IPv4 (ip4:ip/cidr)string[] (notations IPv4 / CIDR)

Définit les adresses IPv4 statiques ou sous-réseaux CIDR explicitement autorisés à émettre des courriels pour ce domaine. Évalués directement sans aucune requête DNS.

Par défaut : 192.0.2.1/32
Adresses et Plages CIDR IPv6 (ip6:ip/cidr)string[] (notations IPv6 / CIDR)

Indique les adresses IPv6 statiques ou blocs CIDR /64 ou /48 habilités à expédier des courriels sortants. N'entraîne aucune consommation de requêtes DNS.

Par défaut : 2001:db8::/32
Mécanisme MX (mx / mx:domaine)boolean | string (FQDN facultatif)

Autorise les adresses IP issues de la résolution des enregistrements MX (Mail Exchange) du domaine à émettre des courriels. Consomme des requêtes DNS pour la résolution MX puis pour les résolutions A/AAAA associées.

Par défaut : false
Mécanisme A (a / a:domaine)boolean | string (FQDN facultatif)

Autorise les adresses IP associées aux enregistrements A ou AAAA racine du domaine. Utile si le serveur d'hébergement web émet des messages système directs via Postfix ou Sendmail.

Par défaut : false

Conseils de pro et bonnes practices

La section 4.6.4 de la RFC 7208

La section 4.6.4 de la RFC 7208 restreint l'évaluation SPF à un maximum strict de 10 requêtes DNS itératives (mécanismes include, a, mx, ptr, exists). Dépasser 10 déclenche immédiatement un 'PermError', entraînant le rejet ou le classement en spam par Gmail, Yahoo ou Microsoft. Aplatissez vos includes imbriqués en plages ip4/ip6 directes.

Ne configurez jamais plusieurs

Ne configurez jamais plusieurs enregistrements TXT commençant par 'v=spf1' sur un même nom de domaine ou sous-domaine. La section 3.2 de la RFC 7208 impose au serveur récepteur d'interrompre l'analyse avec un 'PermError' en présence d'enregistrements multiples. Consolidez l'ensemble des émetteurs autorisés dans une unique entrée TXT.

Lors du passage à une politique DMARC

Lors du passage à une politique DMARC stricte (p=quarantine ou p=reject), conservez '~all' (SoftFail) dans votre enregistrement SPF au lieu d'imposer prématurément '-all'. Les transferts automatiques de courriels brisant couramment SPF, '~all' préserve la délivrabilité tant que le message est authentifié avec succès par DKIM.

Le mécanisme 'ptr' est formellement

Le mécanisme 'ptr' est formellement déconseillé par la RFC 7208 en raison des lourdes requêtes de DNS inverse qu'il impose et de son rejet par les serveurs modernes. De plus, la directive '+all' autorise expressément n'importe quel serveur mondial à émettre des courriels au nom de votre domaine, constituant une faille majeure.

Pièges courants et dépannage

Les serveurs destinataires rejettent les messages avec '550 5.7.23 SPF PermError: too many DNS lookups'

Inspectez votre enregistrement SPF et allégez les mécanismes 'include:'. Les fournisseurs SaaS imbriquent fréquemment plusieurs requêtes internes. Supprimez les outils inutilisés, convertissez les plages d'adresses statiques en notations 'ip4:'/'ip6:' directes ou attribuez vos flux d'envois marketing à un sous-domaine dédié.

Les outils de diagnostic DNS signalent 'SPF PermError: duplicate SPF records found'

Lancez la commande 'dig +noall +answer TXT example.com' dans votre terminal pour afficher tous les enregistrements TXT. Si vous constatez plusieurs lignes débutant par 'v=spf1', supprimez le doublon et fusionnez l'intégralité des clauses 'include:', 'ip4:' et 'ip6:' dans une seule entrée TXT valide.

Les courriels légitimes transférés automatiquement échouent à la validation SPF chez le destinataire final

SPF valide l'adresse IP de l'expéditeur de l'enveloppe technique (RFC 5321 Return-Path). Lors d'un transfert automatique, l'IP du relais ne correspond plus à l'enregistrement SPF d'origine. Pour y remédier, déployez la signature cryptographique DKIM et l'alignement DMARC afin de valider le message via DKIM même si le SPF est rompu.

Foire aux questions (FAQ)

Qu'est-ce que le SPF et comment protège-t-il contre l'usurpation d'identité (spoofing) ?▼

Le Sender Policy Framework (SPF, RFC 7208) est un protocole d'authentification basé sur le DNS. Les propriétaires de domaine y publient la liste des serveurs et adresses IP autorisés à expédier des courriels en leur nom. Le serveur de messagerie récepteur vérifie l'IP de connexion lors de la session SMTP face au domaine du Return-Path (RFC 5321). Tout courriel issu d'une IP non autorisée est rejeté ou classé comme suspect.

Quelle est la différence fondamentale entre SoftFail (~all) et HardFail (-all) ?▼

'-all' (HardFail) ordonne au serveur récepteur de rejeter catégoriquement le message lors de la négociation SMTP initiale. '~all' (SoftFail) préconise d'accepter le message tout en l'étiquetant comme suspect ou en l'orientant vers le dossier des courriers indésirables. Dans les architectures intégrant DMARC, '~all' est vivement recommandé pour éviter le rejet intempestif de courriels légitimes ayant fait l'objet d'un transfert.

Pourquoi la limite des 10 requêtes DNS est-elle appliquée de manière aussi stricte ?▼

La RFC 7208 a fixé ce plafond de 10 requêtes DNS pour prémunir les infrastructures de messagerie contre les attaques par déni de service (DoS) et l'amplification DNS. Sans cette limite, des acteurs malveillants pourraient concevoir des boucles d'include complexes surchargeant les résolveurs à chaque message entrant. Dès la 11e requête DNS nécessaire, l'analyse échoue instantanément en PermError.

Le SPF vérifie-t-il l'adresse d'expéditeur 'De' (From) visible par l'utilisateur ?▼

Non. Le SPF valide uniquement l'enveloppe technique (RFC 5321 Return-Path ou MAIL FROM), sans contrôler l'en-tête visible 'From' (RFC 5322). Un pirate peut employer une enveloppe conforme au SPF tout en affichant une adresse usurpée dans l'en-tête visible. Pour combler cette faille, le déploiement de DMARC (RFC 7489) est indispensable afin d'imposer un alignement strict entre ces deux identités.

Les sous-domaines héritent-ils automatiquement de l'enregistrement SPF du domaine principal ?▼

Non. Les sous-domaines n'héritent pas du SPF de leur domaine racine selon la RFC 7208. L'évaluation s'exécute exclusivement sur le FQDN mentionné dans le Return-Path du courriel. Si un message est émis par '[email protected]', le récepteur interrogera le TXT de 'app.example.com'. En l'absence de SPF sur le sous-domaine, le résultat sera 'None', nécessitant de publier un enregistrement propre à chaque sous-domaine expéditeur.

Outils et utilitaires connexes

Tous les outils →
Générateur d'Enregistrements DMARC DNS et Validateur de Syntaxe - Guide DéveloppeurSécurité

Générez et validez des enregistrements DNS TXT DMARC conformes à la RFC 7489 avec politiques de traitement (none/quarantine/reject), rapports agrégés rua/ruf et balises d'alignement.

Ouvrir l'outil→
Guide Développeur du Générateur d'Enregistrements DNS CAA (Certification Authority Authorization)Sécurité

Générez des enregistrements DNS CAA conformes à la RFC 8659 pour restreindre l'émission de certificats SSL/TLS aux seules autorités de certification de confiance (Let's Encrypt, DigiCert, Sectigo).

Ouvrir l'outil→
Guide Développeur : Générateur d'Enregistrements DNS DKIM TXT & SélecteursSécurité

Générez des enregistrements DNS DKIM TXT conformes à la RFC 6376 avec sélecteur, formatage de clé publique (v=DKIM1; k=rsa; p=...), découpage à 255 caractères et validation.

Ouvrir l'outil→
Guide Développeur : Générateur de Stratégies MTA-STS et Enregistrements DNS TLS-RPTSécurité

Guide de référence technique et bonnes pratiques pour générer les fichiers de stratégie RFC 8461 MTA-STS, les enregistrements DNS TXT _mta-sts et les rapports d'incidents RFC 8460 TLS-RPT.

Ouvrir l'outil→
Décodeur de Jeton JWT & Inspecteur de SécuritéSécurité

Utilitaire pour développeurs permettant de décoder les JSON Web Tokens côté client, d'inspecter les claims RFC 7519 et OIDC, d'auditer les expirations et de vérifier les signatures HMAC localement.

Ouvrir l'outil→
Générateur Criptographique de Mots de Passe & PassphrasesSécurité

Générez des mots de passe robustes à haute entropie, des passphrases mémorisables (Diceware), des codes PIN et des jetons d'API avec l'API Web Crypto CSPRNG conforme à la norme NIST SP 800-63B.

Ouvrir l'outil→