Comment vérifier le SPF de mon domaine ?
Dernière vérification : 30 octobre 2026
Pour vérifier le SPF d'un domaine, interrogez ses enregistrements DNS de type TXT et cherchez une ligne qui commence par "v=spf1" : elle liste les serveurs autorisés à envoyer des emails en son nom. SPF est normalisé par l'IETF dans la RFC 7208 (avril 2014). Un domaine sans cet enregistrement — ou avec un enregistrement mal réglé — ne peut pas être authentifié par SPF, ce qui facilite son usurpation pour du phishing. ScanMonSite vérifie ce point automatiquement, en lecture seule.
Vérifiez si votre domaine publie un enregistrement SPF, en 30 secondes.
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Ce que le scan vérifie sur ce point :
- Recherche d'un enregistrement DNS TXT commençant par "v=spf1" sur votre domaine
- Détection du mécanisme "+all", qui autorise explicitement n'importe quel serveur à envoyer en votre nom et annule la protection
- Signalement si aucun mécanisme "all" final n'est détecté (politique potentiellement incomplète)
Vérifier manuellement en une commande
- Ouvrez une invite de commande (Windows) ou un terminal (macOS, Linux).
- Sous Windows : nslookup -type=TXT example.com. Sous macOS ou Linux : dig TXT example.com +short.
- Dans la liste des enregistrements TXT renvoyés, repérez celui qui commence par "v=spf1" — remplacez example.com par votre propre domaine.
- Si aucune ligne ne commence par "v=spf1", aucun enregistrement SPF n'est publié pour ce domaine.
Lire les qualificatifs d'un enregistrement SPF
Chaque mécanisme (include:, ip4:, ip6:, a, mx, all...) peut être précédé d'un qualificatif qui détermine le résultat en cas de correspondance. Le qualificatif par défaut, s'il est omis, est "+" (RFC 7208, section 4.6.2).
| Qualificatif | Résultat (terme RFC 7208) | Effet |
|---|---|---|
| + | pass | Autorisé — qualificatif implicite si aucun n'est précisé |
| - | fail | Rejeté (échec strict) |
| ~ | softfail | Marqué comme suspect, généralement accepté mais signalé |
| ? | neutral | Aucune action, traité comme l'absence de SPF |
Vérifiez votre enregistrement SPF
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
L'erreur la plus fréquente : "+all"
Un enregistrement qui se termine par "+all" (ou simplement "all" sans qualificatif, qui vaut "+all" par défaut) autorise explicitement tout serveur, sans exception, à envoyer des emails au nom du domaine. C'est exactement ce que SPF est censé empêcher : ce réglage est détecté comme sévérité élevée par notre scanner, au même titre qu'une absence totale de SPF.
Ce que SPF ne couvre pas
SPF authentifie uniquement le serveur d'envoi (son adresse IP), pas le contenu du message ni la politique à appliquer en cas d'échec de vérification côté destinataire. Un domaine complet s'appuie aussi sur DKIM (intégrité du message) et DMARC (politique en cas d'échec) — voir nos guides dédiés ci-dessous.
Sources
Questions fréquentes
Qu'est-ce qu'un enregistrement SPF ?
Un enregistrement DNS de type TXT, normalisé par l'IETF dans la RFC 7208 (avril 2014), qui liste les serveurs autorisés à envoyer des emails pour un domaine donné.
Que signifie le mécanisme "all" en fin d'enregistrement ?
Il définit la règle par défaut pour tout serveur non listé explicitement avant lui. Son qualificatif (+, -, ~ ou ?) détermine si ces serveurs sont autorisés, rejetés, marqués comme suspects ou ignorés (RFC 7208, section 4.6.2).
Pourquoi "+all" est-il dangereux ?
"+" correspond au résultat "pass" (autorisé). Placé devant "all", il autorise explicitement n'importe quel serveur au monde à envoyer des emails en usurpant votre domaine : cela annule entièrement la protection SPF.
Puis-je avoir deux enregistrements SPF pour le même domaine ?
Non. La RFC 7208 (section 3.2) interdit qu'une recherche d'autorisation puisse sélectionner plus d'un enregistrement : en présence de plusieurs enregistrements "v=spf1", le résultat est une erreur permanente (permerror, section 4.5), pas la somme des deux.
Qu'est-ce que la limite des 10 recherches DNS ?
La RFC 7208 (section 4.6.4) impose aux vérificateurs SPF de limiter à 10 le nombre total de mécanismes nécessitant une recherche DNS (include, a, mx, ptr, exists, redirect). Au-delà, le résultat est aussi une erreur permanente.
SPF seul suffit-il à protéger mon domaine ?
Non. SPF vérifie seulement le serveur d'envoi, pas l'intégrité du message ni la politique appliquée en cas d'échec côté destinataire. DKIM et DMARC couvrent chacun un angle différent — voir nos guides dédiés ci-dessous.
Dois-je publier un SPF même si mon domaine n'envoie jamais d'emails ?
C'est recommandé : sans aucun enregistrement SPF, rien n'empêche un tiers d'usurper votre domaine pour envoyer du phishing, même si vous n'envoyez vous-même aucun email.
Pour aller plus loin
Vérifiez votre configuration SPF
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Votre site est déjà touché ? Demandez un devis de réparation.