Ajouter un enregistrement SPF chez votre gestionnaire DNS

Un enregistrement SPF s'ajoute sous la forme d'un enregistrement TXT sur votre nom de domaine, dans la gestion DNS du prestataire chez qui se trouvent les serveurs de noms de votre domaine. Un domaine ne peut avoir qu'un seul enregistrement SPF : s'il en existe déjà un, vous y insérez la référence include de 2Mail, avant le ~all ou le -all final. La valeur exacte figure dans le tableau de bord de 2Mail, sous votre domaine d'envoi ; vous lirez ci-dessous où la saisir chez les gestionnaires DNS les plus courants.

Ce que vous préparez

• La mention SPF de 2Mail. Ouvrez votre domaine d'envoi dans le tableau de bord. Sous l'authentification, vous voyez une courte référence include vers 2Mail. Copiez-la telle quelle.
• L'accès à la bonne gestion DNS. Ce n'est pas le prestataire chez qui vous avez acheté le domaine qui compte, mais celui vers lequel pointent les serveurs de noms. S'ils sont chez Cloudflare, une modification dans le panneau de votre registrar n'a aucun effet.
• L'enregistrement actuel. Saisissez votre domaine dans l'outil gratuit de vérification SPF, DKIM et DMARC : vous voyez aussitôt s'il existe déjà un enregistrement SPF et ce qu'il contient.

Ajouter l'enregistrement en cinq étapes

1. Ouvrez la gestion DNS et cherchez sur votre domaine un enregistrement TXT qui commence par v=spf1.
2. Il n'y en a pas encore : créez un nouvel enregistrement de type TXT. Le nom est le domaine lui-même ; dans la plupart des panneaux, c'est une arobase (@) ou un champ vide. La valeur commence par v=spf1, se poursuit par la référence include de votre tableau de bord 2Mail et se termine par ~all.
3. Il y en a déjà un : modifiez cet enregistrement et ajoutez-y la référence include de 2Mail, avec une espace avant et après, avant le all final. Vous ne touchez à rien d'autre.
4. Enregistrez et laissez la TTL telle quelle.
5. Retournez à votre domaine d'envoi dans le tableau de bord et faites vérifier l'enregistrement par 2Mail.

Un seul enregistrement : comment fusionner

Les serveurs destinataires acceptent exactement un enregistrement SPF par domaine. S'ils en trouvent deux, le contrôle échoue pour tous les expéditeurs, y compris pour le service qui fonctionnait sans souci depuis des années. Chaque service qui envoie en votre nom prend donc place dans le même enregistrement. Si vous utilisez par exemple Microsoft 365 pour le courrier du bureau, vous avez sans doute aujourd'hui v=spf1 include:spf.protection.outlook.com -all. Après la modification, cela devient : v=spf1, puis include:spf.protection.outlook.com, puis la référence include de votre tableau de bord 2Mail, et enfin -all. L'ordre des références include n'a pas d'importance ; l'élément all, lui, doit rester tout à la fin.

Où ajouter l'enregistrement, par gestionnaire DNS

Les panneaux sont régulièrement redessinés, et les boutons peuvent donc porter un nom légèrement différent chez vous. Le chemin, lui, reste le même.

• Cloudflare — choisissez votre domaine, ouvrez la rubrique DNS puis les enregistrements. Ajoutez un enregistrement de type TXT, avec @ comme nom et la valeur dans le champ de contenu. L'interrupteur du proxy (le nuage orange) n'existe pas pour les enregistrements TXT ; vous n'avez rien à y faire.
• Combell — dans le panneau de contrôle, ouvrez votre nom de domaine et allez à la gestion DNS ; les enregistrements TXT y ont leur propre rubrique. Pour le domaine lui-même, laissez le champ du nom vide ou saisissez @, selon ce qu'indique le panneau.
• one.com — dans le panneau de contrôle, allez aux paramètres DNS puis aux enregistrements DNS. Créez un enregistrement de type TXT. Le panneau affiche déjà votre domaine derrière le champ du nom : pour le domaine lui-même, ce champ reste en général vide.
• TransIP — dans le panneau de contrôle, ouvrez votre domaine et descendez jusqu'à la partie DNS. Ajoutez une ligne avec @ comme nom, TXT comme type, et la valeur. Cliquez ensuite sur le bouton d'enregistrement en bas de page : sans ce clic, la ligne est perdue.
• OVHcloud — dans l'espace client, ouvrez votre nom de domaine et choisissez l'onglet de la zone DNS. Ajoutez une entrée de type TXT et laissez le champ du sous-domaine vide. La même liste propose aussi un assistant SPF ; avec TXT, vous collez simplement la valeur telle quelle. Chez OVHcloud, comptez de quelques heures à une journée avant que la modification soit visible partout.
• GoDaddy — dans la liste de vos produits, ouvrez le domaine et choisissez la gestion DNS. Ajoutez un nouvel enregistrement de type TXT, avec @ comme nom, et la valeur.
• Microsoft 365 — uniquement si le DNS de votre domaine est hébergé chez Microsoft, par exemple parce que vous avez acheté le domaine par leur intermédiaire. Dans le centre d'administration, les domaines se trouvent sous les paramètres ; choisissez votre domaine, ouvrez les enregistrements DNS et ajoutez un enregistrement personnalisé. Si votre DNS est ailleurs, cet écran montre seulement les enregistrements que Microsoft attend, et vous les modifiez chez votre véritable gestionnaire DNS. Dans les deux cas, il existe déjà un enregistrement SPF pour Microsoft : il faut donc fusionner.

La limite de dix recherches DNS

Pour lire votre enregistrement SPF, un serveur destinataire ne peut effectuer que dix recherches DNS au maximum. Chaque include compte, tout comme les éléments a, mx, exists et redirect, ainsi que les recherches imbriquées à l'intérieur d'une référence include. Les éléments ip4, ip6 et all ne coûtent rien. Au-delà de dix, c'est tout l'enregistrement qui échoue, y compris pour les expéditeurs placés en tête. Supprimez donc les références aux services que vous n'utilisez plus : l'ancien outil de newsletter, l'hébergeur précédent, le CRM d'il y a trois ans. L'outil de vérification compte les recherches pour vous.

~all ou -all ?

Le dernier élément dit ce qu'un destinataire doit penser des serveurs qui ne figurent pas dans l'enregistrement. Avec ~all (softfail), ils sont suspects ; avec -all (fail), ils sont expressément interdits. Si votre enregistrement se termine déjà par l'un des deux, n'y touchez pas. Si vous partez de zéro, choisissez ~all jusqu'à être certain que chaque service qui envoie en votre nom figure dans l'enregistrement ; vous pourrez ensuite passer à -all. N'utilisez jamais +all, qui approuve n'importe quel serveur au monde, et évitez ?all, dont aucun destinataire ne tire de conclusion.

Contrôler et patienter

Le contrôle du tableau de bord fait référence : dès qu'il est vert, le courrier via notre relais part avec un résultat SPF positif. Un nouvel enregistrement est généralement visible dans l'heure. Un enregistrement modifié continue de donner l'ancienne réponse aussi longtemps que l'indiquait la TTL précédente. Votre ordinateur et votre fournisseur d'accès gardent eux aussi cette ancienne réponse en mémoire ; ne testez donc pas dix fois de suite depuis votre propre appareil, utilisez l'outil de vérification ou le contrôle du tableau de bord.

Erreurs fréquentes

• Un second enregistrement — l'erreur la plus fréquente. Fusionnez-les en un seul et supprimez l'autre.
• Les guillemets — certains panneaux entourent eux-mêmes la valeur de guillemets, d'autres attendent que vous les omettiez. Suivez le panneau et n'en ajoutez pas. Si vous copiez la valeur depuis un e-mail ou un document Word, vérifiez qu'aucun guillemet typographique ne s'est glissé dans la copie : l'enregistrement serait alors invalide.
• Le champ du nom — si vous saisissez votre domaine complet alors que le panneau l'ajoute déjà lui-même, l'enregistrement se retrouve sur votredomaine.be.votredomaine.be et personne ne le trouve.
• Le mauvais domaine — SPF va sur le domaine de votre adresse d'expéditeur, pas sur le domaine de votre site s'ils diffèrent.
• Le type d'enregistrement SPF — certains panneaux proposent encore un type SPF distinct. Ce type est abandonné ; les destinataires ne consultent que le TXT.
• Le mauvais panneau — l'enregistrement est chez votre registrar, mais les serveurs de noms pointent vers un autre prestataire.

SPF seul ne suffit pas. Activez ensuite DKIM avec activer une clé DKIM et rédigez une politique DMARC avec le générateur d'enregistrement DMARC. La façon dont les trois enregistrements fonctionnent ensemble est expliquée sur SPF, DKIM et DMARC.

Questions fréquentes

Puis-je avoir deux enregistrements SPF s'ils servent chacun à un service différent ?

Non. Quel que soit le nombre de services qui envoient en votre nom, ils vont tous dans un seul enregistrement. Deux enregistrements produisent une erreur permanente, et les destinataires les ignorent alors tous les deux.

Un sous-domaine a-t-il besoin de son propre enregistrement SPF ?

Oui. SPF ne s'hérite pas du domaine principal. Si vous envoyez depuis un sous-domaine, par exemple un domaine dédié aux newsletters, ce sous-domaine reçoit son propre enregistrement TXT avec sa propre valeur v=spf1.

Mon enregistrement devient trop long. Que faire ?

Une chaîne de caractères dans un enregistrement TXT ne peut pas dépasser 255 caractères. La plupart des panneaux découpent eux-mêmes une valeur plus longue en plusieurs morceaux à l'intérieur du même enregistrement, et c'est permis. Si votre enregistrement atteint cette longueur, vous êtes sans doute aussi proche de la limite de dix recherches : faire le ménage aide alors davantage que découper.

Pourquoi SPF échoue-t-il sur le courrier transféré ?

Quand un destinataire transfère automatiquement votre message vers une autre adresse, celui-ci repart d'un serveur qui ne figure pas dans votre enregistrement. C'est normal, et SPF ne peut rien y faire. La signature DKIM, elle, reste valide lors d'un transfert, et c'est précisément pour cela que vous configurez les deux.

Ça ne marche pas ?

Envoyez-nous via contact votre nom de domaine et une capture d'écran de l'enregistrement tel qu'il figure dans votre panneau. Nous vous dirons ce qui doit changer.