Defaults.Exposed

Defaults.Exposed › Rapports

Un domaine peut-il avoir deux enregistrements SPF ? Non — un million de domaines viennent d'annuler le leur (2026)

Publié 2026-07-03

Chiffres au 2026-06-29 · méthodologie v7. Recensement agrégé sur 261 millions de domaines notés. Tous les chiffres sont agrégés — jamais l’enregistrement d’une entreprise en particulier. Voir comment nous notons.

Non — un domaine ne peut publier qu’un seul enregistrement SPF, et se tromper sur ce point désactive complètement SPF : 1 013 416 domaines en publient actuellement deux ou plus, ce qui, selon la RFC 7208, rend invalides tous les enregistrements SPF d’un domaine. Ni le plus récent, ni le plus ancien — tous. Un serveur de réception qui trouve plusieurs enregistrements v=spf1 doit renvoyer une erreur permanente, ce qui signifie aucune protection SPF, sur un domaine qui, aux yeux de son propriétaire, semble bénéficier d’une double protection.

Pourquoi deux enregistrements SPF équivalent-ils à zéro ?

La norme est catégorique : la politique SPF d’un domaine doit être un unique enregistrement TXT commençant par v=spf1 (RFC 7208 §3.2 ; le résultat d’erreur est prescrit au §4.5). Si une recherche en trouve plus d’un, le serveur de réception ne peut savoir lequel fait autorité — la norme interdit donc de deviner. Les serveurs de réception conformes à la norme doivent renvoyer PermError : l’évaluation échoue de manière permanente.

Et un PermError n’est pas neutre. DMARC le considère comme un échec sur le volet SPF — de sorte qu’un domaine ayant dupliqué son enregistrement a annulé sa protection et handicapé l’authentification de son propre courrier légitime. C’est l’une des très rares erreurs DNS où ajouter de la protection la supprime (publier deux enregistrements DMARC produit le même effet sur DMARC).

Environ 1 domaine sur 138 qui tentent de mettre en place SPF se sont infligé cela.

Comment cela arrive-t-il ? Le copier-coller de la mise en service

Presque personne n’écrit un second enregistrement SPF volontairement. Cela se produit le jour où vous ajoutez un outil de messagerie :

  1. Votre domaine possède déjà v=spf1 include:spf.protection.outlook.com -all de la part de votre fournisseur de messagerie.
  2. Vous vous inscrivez sur une plateforme de newsletter, un CRM ou un outil de facturation.
  3. Son guide de configuration indique : « Ajoutez cet enregistrement TXT à votre DNS : v=spf1 include:newtool.example.com ~all. »
  4. Vous faites exactement ce qui est écrit — vous l’ajoutez, à côté de l’ancien.

Deux enregistrements existent désormais, et les deux sont annulés. Le guide disait « ajoutez », et ajouter est précisément la seule chose que la norme interdit ; la bonne démarche — fusionner le nouvel include: dans l’enregistrement existant — n’est mentionnée par presque aucun processus de mise en service.

L’échec est invisible depuis le panneau DNS : les deux enregistrements paraissent individuellement bien formés, et le courrier arrive encore la plupart du temps parce que les serveurs de réception se rabattent sur d’autres signaux. Rien ne vous alerte jusqu’à ce qu’une usurpation passe ou que la délivrabilité fléchisse.

Comment le vérifier et le corriger — deux minutes, gratuit

  1. Recherchez les enregistrements TXT de votre domaine (dig TXT yourdomain.com, ou utilisez notre vérification gratuite).
  2. Comptez les enregistrements qui commencent par v=spf1. Le seul nombre sûr est 1.
  3. Si vous en avez plusieurs : fusionnez-les — chaque mécanisme include: et ip4:/ip6: dans un unique enregistrement doté d’un seul qualificateur terminal (voir ~all vs -all) — et supprimez les autres.
Avant :  v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

Après :  v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

En fusionnant, gardez un œil sur la limite de 10 recherches — trop de mécanismes include: cassent SPF d’une autre manière.

Foire aux questions

Plusieurs enregistrements SPF sont-ils autorisés ? Non. La RFC 7208 n’autorise qu’un seul enregistrement v=spf1 par domaine ; deux ou plus provoquent une erreur permanente qui annule complètement SPF. 1 013 416 domaines sont dans cet état au 2026-06-29.

Le second enregistrement SPF remplace-t-il le premier ? Aucun ne l’emporte. Un serveur de réception trouvant plusieurs enregistrements doit faire échouer l’évaluation plutôt que de choisir — ils cessent donc tous de fonctionner en même temps.

Comment combiner deux enregistrements SPF en un seul ? Un seul enregistrement, commençant par v=spf1, contenant tous les mécanismes include: et IP de l’ensemble, se terminant par un unique -all ou ~all. Supprimez les surnuméraires, puis vérifiez que votre nombre de recherches a survécu à la fusion.

Pourquoi mon courrier fonctionne-t-il encore avec deux enregistrements SPF ? Les serveurs de réception qui rencontrent l’erreur poursuivent généralement sans SPF, de sorte que votre courrier repose sur la réputation et DKIM. Ce que vous avez perdu, c’est la protection — rien ne rejette un usurpateur — et vos évaluations DMARC perdent leur volet SPF. Un courrier qui fonctionne et un SPF qui fonctionne sont deux choses différentes.

Vérifiez si votre domaine fait partie du million

Un coup d’œil de 30 secondes vous met hors de cause ou vous confie une fusion de deux minutes.

Vérifiez votre domaine → · Corriger SPF → · Le rapport sur le PermError SPF → · Le modèle de maturité SPF → · Données agrégées uniquement. Données stockées et traitées dans l’UE.