Defaults.Exposed › Rapports

SPF +all : les domaines qui autorisent Internet entier à envoyer en leur nom (2026)

Publié 2026-07-03

Chiffres au 2026-06-29 · méthodologie v7. Recensement agrégé portant sur 261 millions de domaines notés. Tous les chiffres sont agrégés — jamais l’enregistrement d’une entreprise individuelle. Voir comment nous notons.

36 014 domaines terminent leur enregistrement SPF par +all — une déclaration publiée, lisible par machine, selon laquelle chaque serveur d’Internet est autorisé à envoyer des e-mails en leur nom. C’est la mauvaise configuration SPF la plus rare (0,03 % des publieurs) et la plus autodestructrice : un enregistrement absent laisse les destinataires s’en remettre à leurs propres heuristiques, mais +all leur affirme positivement que le faussaire est légitime.

Que signifie +all dans un enregistrement SPF ?

Le mécanisme final all porte un qualificateur — le verdict pour les expéditeurs qui ne figurent pas sur votre liste. -all les rejette, ~all les met en doute — et +all les approuve. Un destinataire qui vérifie un message falsifié face à un enregistrement +all renvoie un pass SPF propre. Voilà le mal en une phrase : votre protection se porte garante du faussaire. Et comme un pass SPF peut satisfaire le volet SPF de DMARC, ce pass peut aider une usurpation à traverser le système même conçu pour l’arrêter.

La carte : où se regroupent les paillassons de bienvenue

+all est partout, à faible densité — mais le taux varie fortement selon l’extension. Comptages issus du recensement ; taux = enregistrements +all pour 10 000 publieurs SPF de ce TLD :

Le groupe Benelux-français se distingue : un publieur SPF en .be est environ 9 fois plus susceptible de porter +all qu’un publieur en .com (22,5 contre 2,4 pour 10 000). Une concentration pareille signifie rarement des milliers d’erreurs indépendantes — l’explication la plus plausible est une source partagée : un panneau d’hébergement régional, un modèle de registrar ou un article pratique qui livrait +all et a été recopié pendant des années. La même empreinte apparaît un cran plus bas sur l’échelle de gravité : 22,6 % des enregistrements SPF en .za se terminent par le neutre ?all, une anomalie nationale qui pointe dans la même direction.

Comment finit-on avec un +all ?

Trois chemins, tous innocents :

• La session de débogage qui n’a jamais pris fin. +all fait disparaître tout problème SPF — le courrier passe, les erreurs cessent. Quelqu’un l’a mis pour débloquer un lancement, et l’enregistrement a survécu à l’incident.
• Une syntaxe mal comprise. + semble vouloir dire « autoriser ma liste » si l’on n’a jamais vu le tableau des qualificateurs. L’intention était -all ; le caractère l’a inversée.
• Le modèle hérité. Comme le suggère la carte, certains enregistrements arrivent déjà cassés depuis un panneau ou un guide.

Le correctif d’un seul caractère

Remplacez +all par -all — ou par ~all avec un DMARC en application derrière. Un caractère dans un seul enregistrement TXT, gratuit, et il prend effet dès que le DNS se met à jour — généralement en moins d’une heure. Il n’existe pas d’amélioration de sécurité plus rapide sur un domaine.

Foire aux questions

Que signifie +all dans un enregistrement SPF ? Il autorise chaque serveur d’Internet à envoyer des e-mails en votre nom de domaine — l’inverse de la raison d’être du SPF. 36 014 domaines le publient au 2026-06-29.

+all est-il pire que l’absence d’enregistrement SPF ? Sur le seul point qui compte, oui : l’absence d’enregistrement laisse les destinataires deviner, tandis que +all peut convertir une falsification en un pass SPF propre — un pass qui peut même l’aider à passer DMARC. Certains filtres traitent aussi +all lui-même comme un signal de spam, il peut donc nuire à votre courrier légitime également.

Comment vérifier mon domaine pour +all ? Lisez vos enregistrements TXT (dig TXT votredomaine.com) ou lancez la vérification gratuite — un qualificateur permissif est signalé immédiatement.

Pourquoi un modèle définirait-il +all par défaut ? Le plus vraisemblablement parce qu’il ne génère aucun ticket de support — chaque livraison « fonctionne », y compris les frauduleuses. Le regroupement régional dans nos données est cohérent avec des valeurs par défaut de modèles plutôt qu’avec des milliers de choix individuels, même si le recensement voit les enregistrements, pas leurs auteurs.

Vérifiez votre terminaison

La plupart des propriétaires dont le paillasson est sorti n’ont aucune idée qu’il est là. Lire son propre paillasson prend une demi-minute, et le réécrire coûte un caractère.

Vérifiez votre domaine → · Corriger le SPF → · ~all contre -all → · Le panthéon des mauvaises configurations → · Données agrégées uniquement. Données stockées et traitées dans l’UE.