Sécurité email & réseau v1.0

SPF

Enregistrement DNS qui liste les serveurs autorisés à envoyer des courriels au nom d’un domaine, pour limiter l’usurpation.

Définition complète

SPF (Sender Policy Framework) est un mécanisme d’authentification des courriels, normalisé par l’IETF dans la RFC 7208. Le propriétaire d’un domaine publie dans son DNS un enregistrement qui indique quels serveurs sont autorisés à envoyer des courriels pour ce domaine : ses propres serveurs, sa messagerie en ligne, son outil d’e-mailing, son logiciel de facturation.

À la réception, le serveur destinataire vérifie si l’adresse IP de l’expéditeur figure dans cette liste. Le résultat (autorisé, non autorisé, neutre, erreur) aide à décider si le message est légitime. SPF vérifie l’adresse d’enveloppe technique, qui n’est pas forcément celle que voit l’utilisateur : c’est pourquoi il doit être complété par DKIM et DMARC.

Un piège fréquent : la norme limite à 10 le nombre de mécanismes entraînant une requête DNS (include, a, mx, etc.). Au-delà, l’évaluation renvoie une erreur et SPF ne protège plus rien. L’ANSSI recommande de mettre en œuvre SPF, DKIM et DMARC, qui protègent l’entité à la fois comme destinataire et comme expéditrice.

Source : IETF, RFC 7208 (Sender Policy Framework), ANSSI, Recommandations relatives à l’interconnexion d’un SI à Internet (PA-066)

Exemple concret

Une PME de conseil envoie ses courriels via Microsoft 365, ses newsletters via un outil d’e-mailing et ses factures via son logiciel comptable. Son enregistrement SPF n’autorise que Microsoft 365 : les factures arrivent en spam chez les clients. À l’inverse, un escroc qui envoie de fausses factures en usurpant le domaine de la PME passe sans difficulté chez les destinataires qui ne vérifient rien, faute de politique DMARC.

Comment se protéger

  • Recenser tous les services qui envoient des courriels au nom du domaine avant de rédiger l’enregistrement SPF.
  • Publier un seul enregistrement SPF par domaine et vérifier qu’il reste sous la limite de 10 requêtes DNS.
  • Terminer l’enregistrement par une règle stricte (-all) ou intermédiaire (~all) une fois l’inventaire validé.
  • Protéger aussi les domaines qui n’envoient jamais de courriels avec un SPF qui n’autorise aucun serveur.
  • Compléter SPF par DKIM et DMARC, et suivre les rapports DMARC pour repérer les envois non autorisés.
  • Mettre à jour l’enregistrement à chaque changement d’outil d’envoi.

Questions fréquentes

Termes liés

Compromission de messagerie professionnelle (BEC)

Prise de contrôle ou usurpation d’une boîte mail professionnelle pour détourner des paiements, voler des données ou piéger les contacts.

Phishing

Technique d'hameçonnage par email pour voler des données sensibles.

DKIM

Signature cryptographique ajoutée aux courriels, qui prouve qu’ils proviennent bien du domaine annoncé et n’ont pas été modifiés.

DMARC

Politique publiée dans le DNS qui indique quoi faire des courriels usurpant un domaine et fournit des rapports sur leur authentification.
Trouver un prestataire spécialisé
Tester ma maturité cyber

Vous avez besoin d'un expert en SPF ?

Créez votre compte pour recevoir des réponses de prestataires qualifiés.

Créer un compte gratuit Déjà inscrit ? Se connecter
Retour au lexique