Enregistrements SPF

SPF (cadre de politique de l’expéditeur) permet au propriétaire d’un domaine de publier la liste des serveurs de messagerie autorisés à envoyer des courriels en son nom. Les serveurs destinataires consultent cette liste pour détecter les expéditeurs falsifiés.

SPF répond à une seule question : Le serveur qui a remis ce message est-il autorisé à envoyer des courriels pour ce domaine ? Si ce n’est pas le cas, le message est suspect.

Une politique SPF est publiée sous forme d’enregistrement TXT dans le DNS de votre domaine. Il doit y avoir exactement un enregistrement SPF par domaine.

Voici un exemple simple :

Lorsqu’un serveur destinataire reçoit un message, il effectue la vérification SPF :

• Lire le domaine de l’enveloppe MAIL FROM (le chemin de retour)
• Rechercher l’enregistrement SPF TXT de ce domaine dans le DNS
• Comparer l’IP du serveur qui se connecte à la liste des serveurs autorisés
• Renvoyer un résultat : réussite, échec, échec modéré, neutre ou aucun résultat

Notez que SPF vérifie l’expéditeur de l’enveloppe, et non l’en-tête visible de l’expéditeur, une limite importante étudiée plus loin.

Un enregistrement SPF est constitué de mécanismes qui décrivent les expéditeurs autorisés :

Chaque mécanisme peut avoir un qualificatif qui définit le résultat lorsqu’il correspond :

La plupart des organisations envoient du courrier via des services tiers : Google Workspace, Microsoft 365, des plateformes marketing et des systèmes de gestion des tickets. Le mécanisme include délègue la vérification aux propres enregistrements SPF de ces fournisseurs.

Par exemple, include:_spf.google.com récupère les plages autorisées de Google. Votre enregistrement reste ainsi facile à maintenir : le fournisseur met à jour ses plages et vous n’avez pas à le faire.

Chaque service d’envoi légitime doit être inclus, sinon son courrier échouera à la vérification SPF.

SPF impose une limite stricte : l’évaluation d’un enregistrement peut déclencher au maximum 10 recherches DNS. Des mécanismes comme include, a et mx consomment chacun une recherche, et les inclusions imbriquées s’accumulent rapidement.

Le dépassement de cette limite produit une erreur permanente, et la vérification SPF échoue effectivement. Pour y remédier :

• Supprimez les inclusions inutilisées
• Utilisez l’aplatissement SPF pour remplacer les inclusions par des plages d’adresses IP brutes
• Regroupez les services d’envoi

SPF présente une faiblesse bien connue : le transfert automatique le met en échec. Lorsqu’un message est transféré automatiquement, le serveur de transfert devient la nouvelle adresse IP de connexion, qui ne figure pas dans l’enregistrement SPF du domaine d’origine.

Le résultat est un échec SPF pour un message parfaitement légitime. C’est l’une des principales raisons pour lesquelles SPF seul est insuffisant et pour lesquelles DKIM (qui résiste au transfert) ainsi que l’alignement DMARC sont nécessaires.

Une limitation essentielle : SPF valide le domaine MAIL FROM de l’enveloppe, et non le champ d’expéditeur visible que voit l’utilisateur.

Un attaquant peut réussir la vérification SPF pour son propre domaine dans l’enveloppe tout en affichant votre domaine dans le champ d’expéditeur. SPF indiquerait « réussi » alors que le message est usurpé aux yeux du lecteur.

DMARC comble cette lacune en exigeant que le domaine de l’enveloppe ou le domaine DKIM soit aligné sur le champ d’expéditeur visible.

Déployez SPF progressivement pour éviter de bloquer les courriers légitimes :

• Recensez chaque service qui envoie du courrier avec votre domaine
• Créez l’enregistrement avec toutes les inclusions nécessaires
• Commencez par ~all (échec souple) et surveillez les expéditeurs manquants
• Lorsque vous êtes certain du résultat, renforcez la règle avec -all (échec strict)
• Restez sous la limite de 10 recherches

Vérifiez l’enregistrement avec un outil de vérification du courrier avant et après chaque modification. Un enregistrement SPF incorrect peut envoyer silencieusement votre propre courrier dans les courriers indésirables.

Voici un enregistrement pour une organisation qui utilise Google Workspace ainsi qu’un fournisseur marketing et un fournisseur d’assistance :

Vérifiez votre compréhension de SPF.

Vous avez appris comment fonctionne SPF :

• SPF publie un enregistrement TXT DNS répertoriant les serveurs autorisés à envoyer du courrier pour un domaine
• Les destinataires vérifient le domaine MAIL FROM de l’enveloppe par rapport à l’adresse IP de connexion
• Il est constitué de mécanismes (ip4, a, mx, include) et de qualificatifs, et se termine par -all ou ~all
• Méfiez-vous de la limite de 10 recherches, des problèmes liés au transfert et du fait que SPF vérifie uniquement l’enveloppe, pas le champ d’expéditeur visible
• Déployez-le d’abord avec un échec souple, surveillez les résultats, puis renforcez-le avec un échec strict

Vous allez maintenant apprendre comment DKIM signe les messages au moyen de la cryptographie.