Thème

Outils populaires

Générateur d'enregistrement SPF

Choisissez les services qui envoient vos e-mails et obtenez un enregistrement SPF, avec les requêtes DNS qu'il coûte aux destinataires comptées en direct pendant que vous le créez.

Parcours des requêtes de la RFC 7208, comme notre vérificateur SPF · includes documentés de 71 expéditeurs · créé dans votre navigateur
DNS lu depuis votre navigateur

Charge l'enregistrement SPF de votre domaine dans le formulaire, expéditeurs compris. Ou choisissez vos expéditeurs ci-dessous : il se met à jour au fur et à mesure.

Essayez

Créé dans votre navigateur. Seules les requêtes DNS en sortent, en HTTPS vers le résolveur de Cloudflare (celui de Google en second avis).

Exemple

Un exemple d'enregistrement pour example.com

Saisissez votre domaine ci-dessus pour partir de ce qu'il publie aujourd'hui, ou modifiez ce que vous voulez ci-dessous. L'enregistrement à droite se met à jour au fur et à mesure.

Qui envoie des e-mails au nom de example.com ?
Vos propres serveurs
Adresses ou plages IPv4
Adresses ou plages IPv6
Autres includes
Un domaine qu'un fournisseur vous a demandé d'inclure.
allE-mails de tout autre serveur

Les serveurs non listés sont marqués comme suspects, pas refusés. Avec DMARC en quarantine ou reject, DMARC tranche sur DKIM. Le M3AAWG recommande ~all.

Ce domaine n'envoie aucun e-mail
v=spf1 -all : aucun serveur ne peut envoyer en son nom.

Ce que les destinataires dépensent sur cet enregistrement

Le budget de 10 requêtes · example.com0 sur 2 requêtes vides

/ 10 requêtes utilisées

110

Requête DNS vide

Décompte des includes…

Où vont les requêtes

include:_spf.google.comGoogle Workspace1

Avant de publier

Prêt à publier

Un seul enregistrement, sans rien que les destinataires ignoreraient ou liraient de travers.

Bien

Où coller ceci ?

Choisissez votre hébergeur DNS : les champs ci-dessous sont écrits comme son formulaire les attend.

Ligne de fichier de zone
example.com. 3600 IN TXT "v=spf1 include:_spf.google.com ~all"

Après la publication

Vérification complète: example.comLe lien contient ces réglages, jamais une clé. Interrogé depuis votre navigateur : le résolveur de Cloudflare, celui de Google en second avis.

Comment créer un enregistrement SPF ?

Listez chaque service qui envoie des e-mails au nom de votre domaine, mettez leurs termes include: et les adresses de vos propres serveurs dans un seul enregistrement TXT sur le domaine, et terminez par ~all.

Mettez d'abord les termes bon marché : les adresses IP ne coûtent aucune requête DNS, a et mx en coûtent une chacun, les includes en coûtent une plus tout ce qu'ils contiennent.

Comptez ensuite : les destinataires s'arrêtent à 10 requêtes DNS. Le générateur parcourt chaque include en direct, donc le total est celui que verront les destinataires.

Qui envoieGoogle WorkspaceMailjet192.0.2.25
L'enregistrement, dans l'ordre où les destinataires le lisent
v=spf1ip4:192.0.2.250 requêtesinclude:_spf.google.com1 requêteinclude:spf.mailjet.com1 requête~all0 requêtes
Des expéditeurs à un seul enregistrement
Générateur SPF comptant les requêtes DNS d'un enregistrement au-delà de 10, avec les expéditeurs les plus coûteuxGénérateur SPF comptant les requêtes DNS d'un enregistrement au-delà de 10, avec les expéditeurs les plus coûteuxLe total que les destinataires atteindrontChaque include parcouru en direct depuis votre navigateur, les imbriqués aussi, exactement comme un destinataire les compte.Une cellule par requêteColorée selon l'expéditeur qui la dépense ; au-delà de 10, les cellules sont hachurées : une erreur permanente.Où vont les requêtesChaque terme avec son repère, ses includes imbriqués et ce qu'il coûte.Qui dépense le plusAu-delà de 10, les plus gros dépensiers et les vraies façons de repasser en dessous, piège de l'aplatissement compris.Les expéditeurs qui vivent ailleursLes services dont le SPF va sur un sous-domaine, ou nulle part, disent où.
Microsoft 365, Freshdesk, Salesforce, Zendesk et Mimecast dans un seul enregistrement : chaque include parcouru en direct depuis le navigateur, très au-delà de la limite de 10, avec les expéditeurs les plus coûteux et comment repasser en dessous.

Que contient un enregistrement SPF ?

Des mécanismes qui désignent qui peut envoyer (ip4, ip6, a, mx, include, exists) et une terminaison, all ou redirect, chacun avec un qualificateur ; chaque terme qui interroge le DNS coûte une des 10 requêtes.

Un qualificateur dit ce que signifie une correspondance : + pass (par défaut), - fail, ~ softfail, ? neutral. Les destinataires lisent de gauche à droite et s'arrêtent à la première correspondance.

ptr est obsolète et lent : ne l'utilisez pas.

TermeExempleRequêtes DNSÀ utiliser pour
ip4ip4:192.0.2.0/240Vos propres serveurs IPv4
ip6ip6:2001:db8::/320Vos propres serveurs IPv6
aa1L'adresse propre du domaine
mxmx1 + jusqu'à 10 nomsLes serveurs entrants qui envoient aussi
includeinclude:_spf.google.com1 + les siennesL'enregistrement d'un service
existsexists:%{i}._spf.example.com1Vérifications par adresse (macros)
redirectredirect=_spf.example.com1Utiliser tout l'enregistrement d'un autre domaine
all~all0Tout le reste (la terminaison)
+pass-fail~softfail?neutral
Chaque mécanisme et ce qu'il coûte

Enregistrements SPF pour Google Workspace, Microsoft 365 et d'autres

Google Workspace s'écrit include:_spf.google.com et Microsoft 365 include:spf.protection.outlook.com ; la plupart des services publient un seul terme include:, et certains n'ont besoin de rien dans votre enregistrement.

Chaque coût ci-dessous a été mesuré sur l'enregistrement en ligne du service et inclut tout ce qu'il contient, ce qui est ce que dépense un destinataire.

Les services marqués ailleurs envoient avec leur propre chemin de retour ou un sous-domaine à vous : leur SPF vit donc là.

ServiceÀ ajouter à votre enregistrementRequêtesOù
Google Workspaceinclude:_spf.google.com1votre enregistrement
Microsoft 365include:spf.protection.outlook.com1votre enregistrement
Zoho Mailinclude:zohomail.com2votre enregistrement
Amazon SESinclude:amazonses.com1un sous-domaine
SendGridinclude:sendgrid.net2un sous-domaine
Mailguninclude:mailgun.org5un sous-domaine
Mailchimp——rien à ajouter
Brevo—1rien à ajouter
HubSpotinclude:<HubID>.spf0N.hubspotemail.net—votre enregistrement
Salesforceinclude:_spf.salesforce.com2votre enregistrement
Zendeskinclude:mail.zendesk.com1votre enregistrement
Freshdeskinclude:email.freshdesk.com7votre enregistrement
Postmark—1rien à ajouter
Mimecast (global)include:_netblocks.mimecast.com9votre enregistrement
Proton Mailinclude:_spf.protonmail.ch2votre enregistrement
Fastmailinclude:spf.messagingengine.com1votre enregistrement
Les expéditeurs, leur include et ce qu'il coûte

Qu'est-ce que la limite SPF de 10 requêtes ?

Les destinataires s'arrêtent après 10 termes qui interrogent le DNS, includes imbriqués compris, et le SPF échoue alors avec une erreur permanente pour chaque message ; une troisième requête qui revient vide le fait échouer aussi (RFC 7208).

Repassez en dessous en déplaçant un expéditeur vers un sous-domaine avec son propre enregistrement, en retirant a ou mx si ces serveurs n'envoient pas, ou en demandant au fournisseur un include plus étroit.

L'aplatissement, qui remplace un include par ses adresses IP, économise des requêtes mais devient obsolète le jour où le fournisseur change d'adresses : revérifiez-le chaque mois.

12 / 10 · erreur permanente

mx1include:spf.protection.outlook.com1include:email.freshdesk.com7include:_spf.salesforce.com2include:mail.zendesk.com1
Sous-domaineRetirer a/mxInclude plus étroitAplatir (devient obsolète)
Cinq expéditeurs, 12 requêtes

Le SPF doit-il se terminer par ~all ou -all ?

Utilisez ~all sur un domaine qui envoie des e-mails et -all sur un domaine qui n'en envoie pas : avec DMARC appliqué, DMARC tranche sur DKIM, alors que -all peut faire refuser du courrier transféré avant que DMARC ne s'exécute.

Le M3AAWG recommande ~all pour les domaines qui envoient et -all pour ceux qui n'envoient aucun e-mail. Google documente ~all pour Workspace ; Microsoft documente -all pour Microsoft 365.

~allsoftfailAccepté, marqué comme suspect ; DMARC tranche avec DKIM
-allfailPeut être refusé aussitôt, même si DKIM passe
?allneutralComme si vous n'aviez pas de SPF
Un message venant d'un serveur que vous n'avez pas listé

Quels expéditeurs n'ont pas besoin d'être dans votre enregistrement SPF ?

Les services qui envoient avec leur propre chemin de retour, comme Mailchimp, Postmark, SparkPost, Klaviyo et Shopify, passent le SPF sur leur propre domaine ; Amazon SES, SendGrid et Mailgun vont sur un sous-domaine d'envoi à vous.

Le SPF vérifie l'expéditeur de l'enveloppe (Return-Path), pas l'adresse De que voient les gens. Pour DMARC, ces services s'alignent par DKIM : publiez donc plutôt leurs enregistrements DKIM.

De (ce que voient les gens)From: news@example.com
Return-Path (ce que vérifie le SPF)Return-Path: bounce@esp.example.net

Rien à ajouter ici

MailchimpMandrillPostmarkSparkPostBrevoKlaviyoShopifyDynamics 365

Sur un de vos sous-domaines

Amazon SESSendGridMailgun
Le SPF vérifie le Return-Path, pas la ligne De

Un domaine peut-il avoir deux enregistrements SPF ?

Non : avec deux enregistrements v=spf1 au même nom, les destinataires s'arrêtent sur une erreur permanente et le SPF échoue ; fusionnez-les donc en un seul.

Gardez chaque expéditeur des deux, une seule terminaison, et comptez les requêtes de l'enregistrement fusionné : deux enregistrements qui tiennent chacun peuvent dépasser 10 ensemble.

Publiés à example.orgv=spf1 include:_spf.google.com ~allv=spf1 include:spf.protection.outlook.com -all
Un seul enregistrementv=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all
Deux enregistrements, fusionnés en un

Comment les longs enregistrements SPF fonctionnent-ils avec les hébergeurs DNS ?

Une chaîne TXT contient 255 octets ; les enregistrements plus longs sont découpés en plusieurs chaînes que les destinataires joignent sans rien entre elles, et la plupart des hébergeurs DNS les découpent pour vous.

Cloudflare et Azure acceptent toute la valeur dans un seul champ ; Route 53 et Google Cloud DNS veulent des chaînes de 255 octets entre guillemets. La RFC 7208 demande de garder toute la réponse sous 450 octets.

v=spf1 ip4:198.51.100.1 ip4:198.51.100.2 ip4:198.51.100.3 ip4:198.51.100.4 ip4:198.51.100.5 ip4:198.51.100.6 ip4:198.51.100.7 ip4:198.51.100.8 ip4:198.51.100.9 ip4:198.51.100.10 ip4:198.51.100.11 ip4:198.51.100.12 ip4:203.0.113.20 ip4:203.0.113.21 ip4:203.0.113.22 ip4:203.0.113.23 ip4:203.0.113.24 include:_spf.google.com ~all
1255 B272 B
example.com. 3600 IN TXT ( "v=spf1 ip4:198.51.100.1 ip4:198.51.100.2 ip4:198.51.100.3 ip4:198.51.100.4 ip4:198.51.100.5 ip4:198.51.100.6 ip4:198.51.100.7 ip4:198.51.100.8 ip4:198.51.100.9 ip4:198.51.100.10 ip4:198.51.100.11 ip4:198.51.100.12 ip4:203.0.113.20 ip4:203.0.113.21 ip4:203"
	".0.113.22 ip4:203.0.113.23 ip4:203.0.113.24 include:_spf.google.com ~all" )
Un long enregistrement, tel que le DNS le stocke

FAQ du générateur d'enregistrement SPF

Qu'est-ce qu'un enregistrement SPF ?

Un enregistrement SPF est un enregistrement TXT sur votre domaine, commençant par v=spf1, qui liste les serveurs autorisés à envoyer des e-mails avec votre domaine comme expéditeur de l'enveloppe. Les destinataires comparent le serveur d'envoi à cette liste et attribuent au message pass, softfail ou fail. Il est défini dans la RFC 7208, et DMARC utilise son résultat quand les domaines s'alignent.

Quel est l'enregistrement SPF pour Google Workspace ?

v=spf1 include:_spf.google.com ~all. Cet unique include couvre les serveurs d'envoi de Google et coûte une requête DNS sur vos dix. Si d'autres services envoient aussi au nom de votre domaine, ajoutez leurs termes include avant la terminaison, et gardez un seul enregistrement : un second enregistrement v=spf1 fait échouer le SPF pour tout le monde.

Quel est l'enregistrement SPF pour Microsoft 365 ?

v=spf1 include:spf.protection.outlook.com -all, comme Microsoft le documente ; ~all fonctionne aussi et est plus indulgent avec le courrier transféré. L'include coûte une requête DNS. Les clouds gouvernementaux utilisent leurs propres includes, comme spf.protection.office365.us pour GCC High, que le générateur liste comme des expéditeurs distincts.

Puis-je avoir deux enregistrements SPF ?

Non. Avec deux enregistrements v=spf1 au même nom, les destinataires s'arrêtent sur une erreur permanente et le SPF échoue pour chaque message. Fusionnez-les : gardez chaque expéditeur des deux dans un seul enregistrement avec une seule terminaison. Chargez votre domaine dans le générateur : il fusionne les doublons pour vous, puis compte les requêtes du résultat.

Que se passe-t-il si mon enregistrement SPF dépasse 10 requêtes ?

Les destinataires s'arrêtent au onzième terme qui interroge le DNS et renvoient une erreur permanente : le SPF échoue pour chaque message, y compris les légitimes. DMARC peut encore passer grâce à un DKIM aligné, mais le SPF cesse d'aider. Déplacez un expéditeur vers un sous-domaine, retirez a ou mx là où ces serveurs n'envoient pas, ou demandez à un fournisseur un include plus étroit.

Faut-il utiliser ~all ou -all ?

Utilisez ~all pour un domaine qui envoie des e-mails et -all pour un domaine qui n'en envoie pas. Avec ~all, les e-mails en échec sont marqués comme suspects et DMARC tranche grâce à DKIM ; avec -all, certains destinataires les refusent d'emblée, ce qui peut toucher du courrier transféré avant que DMARC ne s'exécute. Le M3AAWG recommande ~all pour les domaines qui envoient.

Les sous-domaines ont-ils besoin de leur propre enregistrement SPF ?

Oui, s'ils envoient des e-mails. Le SPF n'est pas hérité : news.example.com est vérifié sur son propre enregistrement TXT, pas sur celui d'example.com. Un sous-domaine qui n'envoie rien doit publier v=spf1 -all, et des services comme Amazon SES ou Mailgun attendent leur enregistrement sur le sous-domaine d'envoi que vous configurez avec eux.

Où ajouter l'enregistrement SPF ?

Chez votre hébergeur DNS, sous forme d'enregistrement TXT sur le domaine lui-même : saisissez @ dans le champ du nom (Route 53 veut qu'il reste vide) et collez la valeur. Si un enregistrement SPF est déjà là, modifiez-le au lieu d'en ajouter un autre. Choisissez votre hébergeur dans le générateur pour voir ses noms de champs exacts et comment il accepte les longues valeurs.

Qu'est-ce que l'aplatissement SPF, et faut-il l'utiliser ?

L'aplatissement remplace les termes include par les adresses IP qu'ils contiennent, pour que l'enregistrement exige moins de requêtes DNS. Cela marche, mais la copie devient obsolète dès qu'un fournisseur change ses adresses, et les e-mails venant des nouvelles échouent au SPF. Préférez un sous-domaine ou un include plus étroit ; si vous aplatissez, revérifiez l'enregistrement chaque mois.

Le générateur SPF est-il gratuit, et quelque chose est-il envoyé à votre serveur ?

Il est gratuit, sans inscription. L'enregistrement est créé dans votre navigateur, et chaque include est compté par des requêtes DNS que votre navigateur envoie en HTTPS au résolveur de Cloudflare (et à celui de Google quand Cloudflare est lent) : votre domaine et votre enregistrement ne passent donc pas par notre serveur. Rien de ce que vous saisissez n'est conservé.

Il vous manque quelque chose ?Suggérez une fonction ou un nouvel outil

Outils associés