Imaginez : un de vos prospects reçoit un email soi-disant envoyé par votre entreprise. Le message semble authentique… sauf que vous ne l’avez jamais rédigé. Il s’agit d’un cas typique d’usurpation d’identité email. Et pendant ce temps, vos véritables campagnes marketing tombent dans les spams ou sont carrément bloquées par les fournisseurs d’accès à Internet (FAI).

‍

Un fléau bien connu des responsables IT, des marketeurs et des entrepreneurs. Il impacte directement la délivrabilité, la crédibilité et la sécurité de vos communications email.

‍

La bonne nouvelle ? Une solution existe, et MO&JO, agence emailing, peut vous aider à la mettre en œuvre : le protocole SPF (Sender Policy Framework). C’est l’un des piliers de l’authentification email qui vous permet de déclarer explicitement quels serveurs ont le droit d’envoyer des emails en votre nom.

‍

Dans cet article, on vous guide pas à pas pour comprendre le SPF, maîtriser son fonctionnement, saisir ses enjeux clés et le mettre en place efficacement. Le tout illustré par des exemples concrets, des outils gratuits et des captures d’écran pour vous accompagner à chaque étape.

‍

En bref

• ‍Qu’est-ce qu’un enregistrement SPF (SPF record) ? Un SPF record est une entrée DNS de type TXT, utilisée pour déclarer quels serveurs sont autorisés à envoyer des emails pour votre domaine. Il agit comme une whitelist officielle consultée par les serveurs de réception.
• ‍Dois-je créer un SPF pour chaque sous-domaine ? Non, sauf si vous envoyez des emails depuis ce sous-domaine. Sinon, appliquez la directive v=spf1 -all pour éviter qu’il soit utilisé abusivement.
• ‍Comment savoir si mon SPF est bien configuré ? Utilisez des outils comme MxToolbox, EasyDMARC ou Google Admin Toolbox. Ils vous indiqueront si votre enregistrement est valide, complet et sans erreur.

Usurpation d’identité et blocages d’e-mails : le cauchemar des entreprises

Les symptômes : vos mails n’arrivent plus, vos contacts doutent de vous

Vous envoyez vos newsletters… mais les taux d’ouverture s’effondrent. Vos clients signalent qu’ils ne reçoivent plus vos emails. Pire, un partenaire vous transfère un message suspect signé de votre domaine, que vous n’avez jamais envoyé.

Ces symptômes sont les signes avant-coureurs :

• D’un SPF mal configuré (ou inexistant)
  
• D’une tentative d’usurpation de votre nom de domaine
  
• D’un rejet par les FAI de vos emails, considérés comme peu fiables
  

Pourquoi ces problèmes arrivent ?

Aujourd’hui, les FAI comme Gmail, Outlook ou Microsoft 365 appliquent des politiques de sécurité strictes. Si votre domaine ne leur indique pas clairement quels serveurs sont autorisés à envoyer vos emails, ils appliquent le principe de précaution : ils bloquent ou filtrent vos messages.

‍

Autre menace : le spoofing, ou usurpation d’identité. Il suffit que votre domaine ne soit pas protégé par SPF pour que n’importe qui puisse envoyer des emails “en votre nom”. Ces faux messages peuvent contenir des liens malveillants, des tentatives de phishing ou nuire à votre réputation.

‍

SPF, c’est quoi exactement ?

Le Sender Policy Framework expliqué simplement

SPF (Sender Policy Framework) est un protocole d’authentification email qui vous permet de déclarer publiquement quels serveurs sont autorisés à envoyer des emails depuis votre domaine. Cette déclaration se fait via un enregistrement TXT dans votre zone DNS.

En pratique, quand un destinataire reçoit un email “@votredomaine.com”, son serveur vérifie si l’adresse IP de l’expéditeur correspond à un server autorisé par le SPF.

‍

Exemple d’enregistrement SPF simple :

v=spf1 include:_spf.google.com -all

‍

Cet enregistrement autorise uniquement les serveurs de Google Workspace à envoyer des emails au nom de votre domaine. Tous les autres sont rejetés (-all).

‍

SPF vs. autres protocoles (DKIM, DMARC)

Le SPF est nécessaire mais pas suffisant. Il s’intègre dans une stratégie d’authentification email plus large, aux côtés de :

• DKIM : il ajoute une signature numérique au contenu de vos emails. Il permet de garantir que le message n’a pas été modifié après envoi
  
  
• DMARC : il regroupe les résultats SPF + DKIM et vous permet de définir une politique claire (quarantaine, rejet, rapport). Il donne également une vision détaillée des tentatives d’usurpation de votre domaine

‍Cas d’usage concret : un e-commerçant configure uniquement SPF. Tout semble fonctionner jusqu’au jour où un de ses emails est transféré. Le transfert casse le SPF (l’IP change) donc l’email considéré comme suspect. Avec DKIM, le message aurait été validé.

‍

‍

Comment le SPF protège votre domaine ?

Le fonctionnement technique sans prise de tête

Quand vous envoyez un courrier électronique, voici ce qu’il se passe en coulisse :

1. Le serveur de réception (par exemple celui de Gmail ou Outlook) reçoit l’email.
2. Il identifie le domaine de l’expéditeur (ex. votredomaine.com).
3. Il consulte le SPF record associé à ce domaine dans les DNS.
4. Il vérifie si l’IP de l’expéditeur correspond à l’une des IP ou des “include:” autorisés.

‍

Trois scénarios possibles :

• Pass : l’IP est autorisée → l’email est reçu
  
• Fail : l’IP n’est pas autorisée → l’email subit un échec de validation et est rejeté
• Softfail : L'IP n'est pas autorisée, mais la politique est souple (~all) → l’email va souvent en spam~all

‍

Exemple d’attaque stoppée par le SPF

Un pirate tente d’envoyer un faux email à vos clients depuis une IP située en Russie, avec l’adresse “support@votredomaine.com”. Si vous avez correctement configuré votre SPF (en excluant cette IP), le système de réception détecte l’incohérence entre l’IP utilisée et celle autorisée.

‍

Résultat : l’email est automatiquement rejeté, ou classé comme spam, selon votre politique (-all ou ~all).

Cas réel : une entreprise SaaS française a vu son domaine utilisé pour diffuser un malware. Depuis la mise en place d’un SPF strict et DMARC en mode “reject”, les tentatives ont chuté de 87 % en 2 mois.