Aller au contenu
Emailens
Se connecter

Test SPF : vérifiez votre enregistrement SPF gratuitement

Cet outil trouve votre enregistrement SPF, compte ses requêtes DNS à travers chaque include face à la limite de 10, signale les requêtes DNS vides (void lookups) et les enregistrements en double, et lit le qualificateur all au regard de votre politique DMARC.

@emailens/engine 0.17.2 · données modifiées le 27 octobre 2026

Exemple : example.com, un domaine fictif avec un enregistrement SPF d’exemple. Vérifiez le vôtre ci-dessus.

réussiexample.com

SPF configuré avec ~all (softfail), en cohérence avec la politique DMARC.

La configuration recommandée pour les expéditeurs cloud et SaaS quand elle va de pair avec une politique DMARC stricte.

TXT example.com

v=spf1 mx include:_spf.example.com ~all

Évaluation

  • Réussi : Pas de PermError

Requêtes DNS2 / 10

Chaque include, redirect, a, mx, ptr et exists en coûte une, comptée à travers tous les include imbriqués. Au-delà de 10, les serveurs de réception s’arrêtent sur une PermError.

Requêtes vides (void lookups)0 / 2

Les include ou redirect qui pointent vers un domaine sans enregistrement SPF. Au-delà de 2, les serveurs de réception s’arrêtent sur une PermError.

Le qualificateur all

  • -allHardfail (échec strict) : les emails de tout serveur non listé échouent au SPF.
  • ~allLe vôtre. Softfail (échec souple) : pour les serveurs non listés, l’échec reste souple et le message est jugé suspect plutôt que rejeté. C’est DMARC qui décide de son sort.
  • ?allNeutre : l’enregistrement ne dit rien des serveurs non listés.
  • +allPass : tous les serveurs du monde passent le SPF pour votre domaine, n’importe qui peut donc envoyer en votre nom.
  • nonePas de mécanisme all : un serveur non listé ne correspond à rien et obtient un résultat neutre.

Le vérificateur demande un écran d’ordinateur.

Ce que lit chaque vérification

Enregistrement
Lit les enregistrements TXT de votre domaine et garde ceux qui commencent par v=spf1. S’il n’y en a aucun, c’est un échec ; s’il y en a plusieurs, c’est une PermError, et la vérification s’arrête là.
Requêtes
Suit chaque include et redirect, y compris imbriqués, et compte les termes qui coûtent une requête DNS : include, redirect, a, mx, ptr et exists. Au-delà de 10, c’est une PermError.
Vides
Compte les include et redirect dont la cible ne publie aucun enregistrement SPF. Au-delà de 2, c’est une PermError. Un terme ptr, ou une boucle d’include, est signalé par un avertissement.
all
Lit la fin de l’enregistrement. +all échoue, ?all ou l’absence de all donne un avertissement, -all réussit, et ~all ne réussit que si DMARC est à p=quarantine ou p=reject.

SPF est l’un des trois enregistrements. Vérifiez DKIM et DMARC ensuite, ou lisez comment ils fonctionnent ensemble (en anglais).

À vérifier ensuite

Lancez cette vérification sur chaque email

Un compte gratuit revérifie vos enregistrements chaque jour (1 domaine surveillé) et vous prévient par email dès que l’un d’eux change : Surveillez votre domaine chaque jour, gratuitement.

Surveillance SPF, DKIM et DMARC (Dev). L’offre Dev coûte 9 $ par mois. Pour un développeur : 100 vérifications par jour, une clé API et une boîte de réception de test. Voir les offres →

Questions fréquentes

Que vérifie un test SPF ?

Ce test trouve l’enregistrement TXT v=spf1 de votre domaine, signale un second enregistrement, suit chaque include pour compter les requêtes DNS face à la limite de 10, compte les include qui ne pointent vers rien, et lit le qualificateur all à la fin. Il lit aussi votre politique DMARC, car ~all ne vous protège que si la politique DMARC est stricte.

Qu’est-ce que la limite SPF de 10 requêtes DNS ?

La RFC 7208 plafonne une évaluation SPF à 10 termes qui demandent une requête DNS : include, a, mx, ptr, exists et redirect, comptés à travers chaque include imbriqué. ip4 et ip6 ne coûtent rien. Au-delà de 10, les serveurs de réception renvoient une PermError et SPF échoue pour tous vos emails. Supprimez les include des services que vous n’utilisez plus, ou déplacez un expéditeur sur son propre sous-domaine avec son propre enregistrement.

SPF doit-il se terminer par ~all ou -all ?

~all (softfail) marque les serveurs non listés comme suspects et laisse la décision à DMARC ; -all (hardfail) les marque en échec. Cette vérification valide -all, et valide ~all quand DMARC est à p=quarantine ou p=reject, car sans politique stricte un softfail n’arrête rien. N’utilisez jamais +all : il autorise tous les serveurs du monde.

Un domaine peut-il avoir deux enregistrements SPF ?

Non. La RFC 7208 autorise un seul enregistrement v=spf1 par domaine ; avec deux, les serveurs de réception renvoient une PermError et SPF échoue. Cela arrive souvent quand le guide de configuration d’un nouveau fournisseur demande d’ajouter un enregistrement. Fusionnez les include dans un seul enregistrement et supprimez l’autre.

SPF empêche-t-il d’usurper mon adresse From ?

Pas à lui seul. SPF vérifie l’expéditeur d’enveloppe (le Return-Path), pas l’adresse From que voient les destinataires. DMARC relie les deux : il ne réussit que si SPF ou DKIM réussit pour un domaine aligné sur le domaine From, et sa politique indique aux serveurs de réception que faire quand aucun des deux ne réussit.