Comment remédier à l’échec du SPF ?
octobre 11, 2023 | 4 min de lecture
Comprendre et résoudre les résultats « SPF Authentication Failed » (échec de l’authentification SPF)
Nous avons tous entendu parler de SPF (Sender Policy Framework). Vous ne vous en rendez peut-être pas compte, mais l’authentification SPF est un élément essentiel de votre communication en ligne. Il protège chaque jour des millions de domaines contre les tentatives d’usurpation d’identité et d’hameçonnage. Avec DMARC, DKIM et BIMI, il constitue la base de l’authentification du courrier électronique.
Sender Policy Framework (SPF) est une forme d’authentification utilisée par les propriétaires de domaines pour vérifier les courriels envoyés par d’autres organisations. Cependant, une mauvaise configuration peut entraîner des erreurs connues sous le nom de « SPF authentication failed » (échec de l’authentification SPF).
Dans de nombreux cas, les enregistrements SPF échouent et provoquent des erreurs telles que SPF hard fails, temp errors, etc. Ces situations sont coûteuses en temps et en argent et doivent être corrigées immédiatement.
Pour ceux qui ne connaissent pas bien SPF, il peut être difficile de comprendre pourquoi SPF échoue, comment les erreurs SPF sont interprétées dans DMARC, et comment les corriger ? Nous avons donc simplifié les choses pour vous.
Qu’est-ce que l’authentification SPF ?
Il est essentiel de comprendre ce qu’est le SPF pour pouvoir le dépanner. SPF, Sender Policy Framework, est un protocole d’authentification des courriels utilisé pour vérifier que l’expéditeur du courriel correspond à son nom de domaine dans le champ du message.
Le MTA d’envoi vérifie si l’adresse IP de l’hôte de connexion figure dans la liste préconfigurée des serveurs SPF publiés dans le DNS du domaine extrait. Si c’est le cas, le résultat est un « SPF Pass ».
Toutefois, si l’adresse IP n’est pas répertoriée, le résultat est un « échec« . Cela peut être dû à différentes raisons, telles que des incohérences dans la manière dont les enregistrements sont configurés, le dépassement de la limite de consultation du DNS, etc.
Pour que ces échecs n’affectent pas vos efforts de marketing par courriel, vous devez comprendre pourquoi les courriels échouent à la validation SPF. Une fois que vous connaîtrez la cause du problème, vous pourrez jouer votre rôle pour en protéger votre entreprise.
Pourquoi l’authentification SPF échoue-t-elle ?
Les raisons qui conduisent à un échec de l’authentification SPF sont les suivantes :
- Le MTA récepteur ne parvient pas à trouver l’enregistrement SPF publié dans votre DNS.
- Le contrôle a permis de découvrir plusieurs enregistrements SPF publiés dans votre DNS pour le même domaine.
- Les adresses IP n’ont pas été mises à jour ou répertoriées dans votre enregistrement SPF.
- Le nombre de recherches SPF dépasse 10.
- La recherche de vide dépasse la limite autorisée de 2
- La longueur de l’enregistrement SPF aplati dépasse la limite de 255 caractères SPF.
- L’enregistrement est syntaxiquement incorrect.
Lorsque l’un des scénarios ci-dessus se vérifie, vous rencontrez un échec de l’authentification SPF. Nous allons expliquer chacun d’entre eux ci-dessous :
Différents cas d’échec de l’authentification SPF.
Lorsque le rapport DMARC est activé, le MTA renvoie les résultats d’échec de l’authentification SPF en utilisant différents codes. Ces codes sont les suivants :
Cas 1 : SPF Aucun
Lorsque le serveur de messagerie de réception ne peut pas trouver le nom de domaine dans le DNS, il renvoie une erreur ‘SPF Aucun’. Un résultat Aucun est également produit lorsqu’aucun enregistrement SPF n’est localisé sur le domaine.
En d’autres termes, l’erreur SPF Aucun se produit lorsque l’expéditeur n’a pas configuré l’authentification SPF ou que le serveur ne parvient pas à la trouver. SPF Aucun est considéré comme un échec DMARC. Cette erreur peut être corrigée en publiant un enregistrement SPF valide.
Cas 2 : SPF Neutre
Un résultat SPF neutre est généré lorsque l’enregistrement SPF sur le domaine indique qu’il ne confirme pas si l’adresse IP est autorisée ou non.
En d’autres termes, quel que soit le résultat des vérifications d’authentification SPF, le MTA de réception produira un résultat neutre. Lorsqu’il est réglé sur neutre, vous autorisez également les adresses IP non autorisées à vous envoyer des e-mails.
Cas 3 : SPF Échec léger
Le SPF échec léger est similaire au neutre, car le MTA acceptera même les e-mails non autorisés. Cependant, les e-mails avec des adresses IP non répertoriées dans l’enregistrement SPF seront marqués comme spam. Le SPF échec léger se produit si vous configurez les mécanismes ~all dans votre enregistrement SPF.
En d’autres termes, SPF échec léger est une indication faible que l’hôte n’est probablement pas autorisé. DMARC l’interprète comme un « Pass » ou un « Fail », selon les paramètres du serveur.
Voici un exemple :
v=spf1 include:spf.google.com ~all
Cas 4 : SPF Échec dur
Également connu sous le nom de SPF échec, l’échec dur se produit lorsque le MTA de réception rejette tous les e-mails provenant de sources non répertoriées dans votre enregistrement SPF. Cela est configuré via un mécanisme ‘-all‘.
En d’autres termes, l’échec SPF est une affirmation explicite que l’hôte n’est pas autorisé à utiliser le domaine. DMARC traite cela comme un échec indépendamment des conditions. Par conséquent, il est recommandé d’inclure cette condition dans votre enregistrement SPF car elle offre une protection maximale contre le spoofing d’e-mails.
Voici un exemple :
v=spf1 include:spf.google.com -all
Cas 5 : Erreur temporaire SPF
Comme son nom l’indique, cette erreur est temporaire et souvent sans danger. Elle est causée par une erreur DNS comme un délai d’attente DNS. Cependant, une nouvelle tentative pourrait donner un résultat SPF pass sans intervention supplémentaire de l’opérateur DNS.
En d’autres termes, Temperror SPF constitue un échec intérimaire. DMARC l’interprète comme non pertinent car cette erreur renvoie un code d’état 4xx mettant fin à la session SMTP. Par conséquent, l’e-mail peut être livré ultérieurement en fonction de votre politique de nouvelle tentative.
Cas 6 : Erreur permanente SPF
SPF PermError est la raison derrière la plupart des échecs d’authentification SPF. Cela se produit lorsque votre enregistrement SPF est rendu invalide par le MTA de réception lors des recherches DNS :
SPF PermError se produit dans les situations suivantes :
- Le nombre de recherches SPF dépasse 10.
- L’enregistrement SPF est incorrect syntaxiquement.
- Plus d’un enregistrement SPF dans un seul domaine.
- La limite de longueur de l’enregistrement SPF dépasse la limite de 255 caractères.
- L’enregistrement SPF n’est pas à jour.
- Les recherches void dépassent 2.
En d’autres termes, PermError SPF est une erreur permanente indiquant que la vérification SPF n’a pas pu interpréter correctement les enregistrements publiés du domaine. DMARC l’interprète comme un ‘Fail’. Par conséquent, la situation nécessite l’intervention d’un opérateur DNS pour corriger l’enregistrement SPF. Sinon, cela impacte négativement la délivrabilité des e-mails.
Mots finaux
Skysnag automatise SPF pour vous, évitant la génération de plusieurs enregistrements SPF. Cela vous épargne les efforts et le temps nécessaires à la configuration manuelle. Évitez immédiatement les échecs d’authentification PermError SPF et utilisez le logiciel automatisé de Skysnag pour protéger la réputation de votre domaine contre les e-mails commerciaux compromis, le vol de mots de passe et les pertes financières potentiellement importantes. Lancez votre parcours d’application des règles avec l’authentification des e-mails et authentifiez SPF de manière autonome avec Skysnag.
You might be interested in reading:
Vérifiez la conformité de la sécurité DMARC de votre domaine
Mettez en place DMARC, SPF et DKIM en quelques jours - pas en mois
Skysnag aide les ingénieurs occupés à mettre en place le DMARC, répond aux erreurs de configuration SPF ou DKIM, ce qui augmente la délivrabilité des e-mails, et élimine l'usurpation d'e-mails et l'usurpation d'identité.