Vérificateur SPF

Un enregistrement SPF indique quels serveurs sont autorisés à envoyer des e-mails en tant que domaine. La plupart de ceux qui échouent n'échouent pas bruyamment - ils échouent en laissant passer tout le monde en silence. Vérifiez un domaine que vous contrôlez et obtenez l'enregistrement et ce qu'il demande réellement à un serveur de réception de faire.

Qu'est-ce qu'un enregistrement SPF, en un seul paragraphe

Lorsqu'un serveur de messagerie reçoit un message prétendant provenir de votre domaine, il peut demander à votre domaine quels serveurs sont autorisés à envoyer en votre nom. La réponse est un enregistrement TXT dansvotre DNS commençant par v=spf1. Si le serveur d'envoi figure sur cette liste, le message passe. Si ce n’est pas le cas, la suite des événements dépend entièrement de la fin de votre dossier – et c’est là que réside le plus gros des problèmes.

Six raisons de vérifier votre propre enregistrement SPF

La limite de dix recherches, qui bat des records en silence

C’est l’échec auquel personne ne s’attend et que presque tout le monde finit par rencontrer.

Lorsqu'un serveur de réception évalue votre enregistrement SPF, il doitrésolvez tous les include:, a, mx, ptr et redirect qu'il trouve - et chacun d'entre eux peut en contenir davantage. La norme limite ce délai à dix recherches DNS. Dépassez-le et l'évaluation ne revient pas à une réussite ou un échec ; il renvoie une erreur permanente, et la plupart des récepteurs considèrent cela comme aucun SPF. Les records le dépassent en grandissant. Une plateforme marketing ici, un service d'assistance là, un fournisseur de paie, un nouveau CRM : chacun ajoute un include:, et chaque include: peut cacher plusieurs recherches à l'intérieur. Rien ne vous prévient. L'enregistrement semble toujours correct dans votre panneau DNS et la livraison commence à souffrir pour des raisons dont personne ne se connecte à une modification effectuée quatre mois plus tôt.

Un soft fail qui n'autorise personne et n'arrête rien

Chaque enregistrement SPF se termine par unMécanisme all, et le personnage devant lui décide de tout :

Fin	Ce qu'il dit au récepteur
`-all`	Échec dur. Ce serveur n'est pas autorisé. Rejetez-le
`~all`	Échec logiciel. Ce serveur n'est pas autorisé, mais acceptez-le quand même et marquez-le
`?all`	Neutre. Sans avis
`+all`	Tout le monde est autorisé. Jamais corriger

La plupart des domaines se terminent par ~all, ce qui est le bon point de départ et le mauvais endroit où rester. Cela signifie que votre dossier décrit qui peut envoyer sans insister là-dessus, et c'est une déclaration, pas unedéfense.

Le include: que vous avez ajouté est la liste de quelqu'un d'autre, et elle change

include: ne copie pas les serveurs d'un fournisseur dans votre dossier : il pointe vers les leurs et importe tout ce qui s'y trouve au moment de la vérification.

C'est pratique et cela signifie que une partie de l'authentification de votre courrier est gérée par une entreprise que vous ne contrôlez pas. Lorsqu'elle ajoute une infrastructure, votre dossier en couvre silencieusement davantage. Lorsqu'ils se restructurent, vos recherches comptentpeut sauter. Il est utile de savoir lesquelles de vos entrées include: sont volumineuses, car ce sont celles-là qui vous feront dépasser la limite.

Le domaine qui n'envoie aucun courrier

Un domaine que vous possédez et à partir duquel vous n’envoyez jamais est le plus facile de tous à usurper l’identité, car personne ne regarde les réponses et personne ne remarque les plaintes.

Un tel domaine doit toujours avoir un enregistrement SPF - un enregistrement qui n'autorise rien :

v=spf1 -all

C'est un dossier complet et exact. Il dit : aucun serveur n'est autorisé à envoyer en tant que ce domaine. Les domaines garés, les anciennes marques et les domaines achetés de manière défensive en méritent tous un.

Plusieurs enregistrements là où il devrait y en avoir un

Un domaine peut avoir exactement un enregistrement SPF. Deux enregistrements TXT commençant tous deux par v=spf1 ne représentent pas deux fois la protection - c'est une erreur permanente, et le résultat est le même que s'il n'en avait aucun.

Cela se produit lorsque l'assistant de configuration d'un deuxième fournisseurajoute son propre enregistrement plutôt que de modifier le vôtre. La solution consiste à les fusionner en un seul ; le problème est de remarquer.

Preuve que le dossier était exact à une date donnée

"Nous avons configuré SPF" est une affirmation. Un rapport daté montrant le dossier et sa politique constitue une preuve, et c'est ce que souhaite réellement un assureur ou l'examen de sécurité d'un client. La création de cet enregistrement est un sujet en soi.

Connaissez le jour de votre enregistrementchangements

Le DNS est édité par plus de personnes que n'importe quelle autre couche, et un enregistrement SPF est édité par ceux qui sont les moins susceptibles d'en informer l'équipe de sécurité : le marketing ajoute une plate-forme d'envoi, l'informatique déplace un fournisseur de messagerie, un entrepreneur connecte un formulaire.

Chaque modification est petite et aucune n’est examinée. Les analyses planifiées transforment cela en une différence dont on vous parle : cet enregistrement a obtenu une entrée, cette politique est passée de -all à ~all. Les alertes arrivent dans l'application, par e-mail,ou via Slack, Teams, Jira ou un webhook.

Étape 01 · Nommez le domaine

Un domaine que vous contrôlez, ajouté à votre compte AYAsec. La propriété est vérifiée avant l'envoi de quoi que ce soit : AYAsec ne planifiera pas d'analyses sur l'infrastructure dont vous n'avez pas démontré le contrôle et pour prouver qu'il faut un enregistrement DNS. La vérification rapide ci-dessus ignore ceci : pas de compte, pas de vérification, juste une limitation du débit IP et une règle selon laquelle la cible doit être une adresse publique.

Étape 02 · Laissezle cycle de contrôle

Les enregistrements SPF sont publics, ils sont donc lus plutôt que interrogés. Il recherche l'enregistrement comme le ferait un serveur de messagerie de réception.

Étape 03 · Lire le résultat

Les résultats arrivent classés par gravité et notés de A+ à F. Un enregistrement qui autorise tout le monde et un échec léger ne figurent pas dans la même liste indifférenciée.

De quoi cela fait partie

SPF est l'un des nombreux enregistrements liés au courrier qu'AYAsec vérifie dans le cadre de son analyse DNS, aux côtés de DKIM,DMARC, MTA-STS, TLS-RPT et DNSSEC. Il s'agit d'une analyse, et cette page ne représente qu'une partie de ce qu'elle examine.

DNS porte 20 % de la note composite. Les autres sont HTTP à 30 %, TLS et ports à 20 % chacun et la crédibilité du domaine à 10 %. Tous ensemble, c'est ce que la gestion de la surface d'attaquesignifie en pratique.

Questions avant de vérifier

Que puis-je vérifier ?

Infrastructure que vous possédez ou que vous êtes chargé de tester. La vérification rapide ci-dessus ne vérifie pas cela pour vous - elle limite uniquement le débit par IP et refuse de cibler autre chose qu'une adresse publique. Ajoutez plutôt le domaine à un compte AYAsec et le contrôle est vérifié avant toute exécution planifiée : une limite légale autant que pratique, puisqu'une analyse non vérifiée ne vous est d'aucune utilité comme preuve non plus.

Les enregistrements SPF sont publics. Pourquoi est-ce nécessairevérification ?

L'enregistrement est public et la vérification est en lecture seule, la vérification elle-même est donc inoffensive. La vérification concerne ce qui se passe ensuite : un domaine de votre compte AYAsec est surveillé, noté et conservé dans votre historique, et rien de tout cela ne devrait être possible pour un domaine qui n'est pas le vôtre.

Le SPF est-il suffisant à lui seul ?

Non. SPF autorise les serveurs ; il ne survit pas au transfert et ne dit rien quant à savoir si le message a été modifié. C'est ce queDKIM est destiné, et DMARC est ce qui relie les deux et décide de ce qui se passe en cas d'échec.

Comment puis-je passer sous la limite de dix recherches ?

Habituellement, en supprimant les fournisseurs que vous n'utilisez plus, en remplaçant un large include: par les mécanismes spécifiques dont vous avez besoin, ou en aplatissant l'enregistrement - en résolvant vous-même la chaîne et en répertoriant directement les adresses. L'aplatissement fonctionne et a un coût : l'enregistrement cesse de se mettre à jour lorsque leLe fournisseur change ses serveurs, il doit donc être réaplati selon un calendrier.

Un enregistrement peut-il couvrir des sous-domaines ?

Pas automatiquement. SPF est comparé au domaine de l'expéditeur de l'enveloppe. Un sous-domaine qui envoie du courrier a donc besoin de son propre enregistrement.

Conservez-vous les résultats ?

Pas la vérification rapide ci-dessus - elle reste en mémoire pendant environ quinze minutes afin que vous puissiez la lire une fois, puis elle disparaît. Il s'agit d'un choix délibéré en matière de confidentialité, et non d'une limitation : personne d'autre que vous ne voit cette analyse et vous pouvez télécharger le résultat complet avant son expiration. Ajoutez plutôt le domaine à un compte AYAsec et chaque analyse est conservée - une série qui vous indique quelle modification l'a interrompu. La rétention dépend de votre plan.

Conservez l'historique, pas seulement lerésultat

Exécutez la vérification DNS complète sur vos propres domaines, selon un calendrier, avec chaque modification signalée à quiconque a besoin de la voir.

Commencer à numériser gratuitement Comparer les forfaits

Les autres dames

View all free security scanners

DMARC checker : qu'arrive-t-il aux e-mails dont la vérification échoue ?

Vérificateur de sécurité DNS

DNSSEC, serveurs de noms et enregistrements eux-mêmes

Les quatre scanners

ports, TLS, HTTP et DNS

Données structurées à intégrer

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec SPF Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/spf-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

N'ajoutez pas de balisage FAQPage ou HowTo - Google a retiré les deux types de résultats.