Générateur SPF et DMARC

Non. Il construit et vérifie uniquement le TEXTE de l'enregistrement dans votre navigateur et n'interroge jamais le DNS ; il ne peut donc pas prouver qu'un enregistrement est publié ou actif. Après publication, confirmez avec un outil de consultation DNS et vérifiez les résultats d'authentification avec un vrai message de test.

Selon la RFC 7208, une évaluation SPF peut impliquer au plus 10 termes déclenchant des requêtes DNS (include, a, mx, ptr, exists et redirect), et les termes imbriqués dans un include comptent aussi. ip4, ip6 et all ne comptent pas. Au-delà de la limite, les récepteurs renvoient permerror, ce qui signifie que SPF échoue.

Pour les expéditeurs courants intégrés, l'outil utilise des nombres de recherches imbriquées mesurés dans le DNS public le 2026-10-20 ; pour un include que vous saisissez vous-même, le nombre imbriqué est inconnu et compté comme 1 avec un avis. Les fournisseurs peuvent modifier leurs enregistrements à tout moment ; confirmez donc avec un vérificateur SPF basé sur le DNS avant de publier.

~all (échec doux) indique que les sources non listées sont probablement non autorisées mais doivent être acceptées et marquées ; il convient au début, avant que tous les expéditeurs soient confirmés. -all (échec strict) les rejette purement et simplement. Les recommandations de Google préconisent ~all, tandis que Microsoft recommande -all une fois DKIM et DMARC également en place. N'utilisez jamais +all, qui permet à n'importe qui d'envoyer au nom de votre domaine.

La RFC 9989 (DMARCbis) définit v, p, sp, np, adkim, aspf, fo, rua, ruf, psd et t. Les balises pct, rf et ri de la RFC 7489 ont été supprimées, t (l'indicateur de test ; t=y remplace à peu près l'usage courant de pct=0) reprenant le cas d'usage habituel. Cet outil n'écrit pas pct par défaut ; il n'est ajouté que si vous l'activez sous « Options avancées et de compatibilité ».

Commencez avec p=none et une adresse rua, et collectez les rapports agrégés pendant au moins un mois pour repérer tous les expéditeurs légitimes. Alignez le SPF ou le DKIM de chaque expéditeur avec votre domaine From, puis passez à p=quarantine et surveillez à nouveau (utilisez d'abord t=y en cas de doute). Ne passez à p=reject que lorsque le courrier légitime n'est plus affecté. p=reject peut perturber les listes de diffusion et les transferts ; lisez donc d'abord les rapports.

Lorsqu'une boîte rua ou ruf est hors de votre domaine, cet autre domaine doit publier un enregistrement TXT de valeur v=DMARC1; à « votre-domaine._report._dmarc.autre-domaine », sinon la plupart des récepteurs n'enverront pas de rapports ; l'outil affiche le nom d'hôte exact. La documentation de Postmark indique qu'il n'est pas nécessaire de l'ajouter à votre SPF, il ne figure donc pas dans les préréglages ; la valeur include de chaque service listé provient de sa documentation officielle.