« J'ai configuré SPF, pourquoi mes emails arrivent encore en spam ? » Cette question revient régulièrement, et la réponse tient presque toujours dans le détail de la configuration plutôt que dans son absence. Un enregistrement SPF mal écrit peut être pire qu'aucun SPF, car il signale aux serveurs receveurs que quelque chose ne correspond pas aux règles déclarées.
Rappel express : à quoi sert un enregistrement SPF
Le SPF (Sender Policy Framework) est un enregistrement TXT qui liste les serveurs autorisés à envoyer des emails pour votre domaine. Un serveur receveur compare l'adresse IP de l'expéditeur réel à cette liste : si elle n'y figure pas, l'email est jugé suspect. L'enregistrement commence toujours par v=spf1 et se termine par un mécanisme comme ~all ou -all.
Erreur n°1 : plusieurs enregistrements SPF pour le même domaine
La norme autorise un seul enregistrement SPF par domaine. Si deux enregistrements TXT commençant par v=spf1 coexistent (souvent parce qu'un ancien prestataire en a laissé un derrière lui), le résultat devient imprévisible selon le serveur receveur, et beaucoup considèrent purement et simplement l'enregistrement comme invalide. La correction consiste à fusionner tous les expéditeurs autorisés en une seule ligne.
Erreur n°2 : dépasser la limite de 10 recherches DNS
Chaque mécanisme include dans un SPF déclenche une recherche DNS supplémentaire, et la norme plafonne ce nombre à 10 recherches. Un domaine qui a accumulé les includes au fil des années (service d'emailing, CRM, outil marketing, service de facturation) dépasse parfois cette limite sans que personne ne s'en aperçoe, et l'enregistrement entier devient alors ignoré par les serveurs qui appliquent strictement la norme.
Erreur n°3 : oublier d'inclure le bon serveur d'envoi
Si vous changez d'hébergeur de messagerie sans mettre à jour votre SPF, les nouveaux serveurs d'envoi ne figurent simplement pas dans la liste autorisée. C'est l'erreur la plus fréquente après une migration : le SPF existe, est syntaxiquement correct, mais ne couvre plus le bon serveur.
Comment diagnostiquer et corriger
La méthode de diagnostic la plus fiable :
- Interroger l'enregistrement TXT du domaine avec la commande dig ou un outil de vérification SPF en ligne ;
- Compter manuellement le nombre d'includes et vérifier qu'il reste sous la limite ;
- Vérifier que l'adresse IP ou le domaine de votre serveur mail actuel figure bien dans la liste autorisée.
Au-delà des erreurs de fond déjà évoquées, une simple faute de frappe dans la syntaxe peut rendre tout l'enregistrement invalide : un espace manquant entre deux mécanismes, un include mal orthographié, ou une IP écrite sans le préfixe ip4: requis par la norme. Ces erreurs de forme sont particulièrement traîtresses, car l'enregistrement reste visible et semble correct à l'œil nu, alors qu'il échoue silencieusement à chaque vérification effectuée par les serveurs receveurs. Après toute modification manuelle d'un enregistrement SPF, il est donc recommandé de systématiquement relancer une vérification via un outil dédié, plutôt que de se contenter d'une relecture visuelle rapide, qui ne détecte pas toujours ce type de défaut de syntaxe strict.
Les plateformes d'envoi marketing imposent presque toujours d'ajouter leur propre domaine d'envoi à votre enregistrement SPF via un include dédié, fourni directement dans leur documentation technique au moment de la configuration. Oublier cette étape, ou l'appliquer seulement partiellement, explique une part importante des campagnes marketing qui finissent massivement en spam malgré un SPF par ailleurs correctement configuré pour les emails habituels envoyés depuis votre messagerie professionnelle. Chaque nouvel outil connecté à votre domaine pour envoyer des emails en votre nom doit systématiquement être ajouté à cette liste, ce qui en fait un enregistrement à revoir périodiquement plutôt qu'une configuration figée une fois pour toutes au lancement de votre activité. Tenir une liste à jour de tous les services autorisés à envoyer en votre nom facilite grandement cette maintenance, en particulier lorsque plusieurs personnes de l'entreprise ajoutent des outils au fil du temps sans toujours en informer la personne responsable de la configuration technique du domaine.
Comment savoir si mon SPF est valide ?
Un outil de vérification SPF en ligne signale immédiatement une syntaxe invalide, un dépassement de la limite de recherches, ou la présence de plusieurs enregistrements concurrents.
Faut-il terminer son SPF par ~all ou -all ?
Le mécanisme ~all (échec souple) marque les emails non conformes comme suspects sans les rejeter, tandis que -all (échec strict) demande leur rejet pur et simple. Beaucoup d'entreprises commencent par ~all le temps de valider leur configuration, avant de durcir vers -all.
SPF suffit-il à lui seul pour garantir la délivrabilité ?
Non, SPF doit être complété par DKIM et DMARC pour former une protection cohérente. Un SPF correct mais isolé reste une protection partielle.
Si vos emails professionnels continuent d'arriver en spam malgré un SPF en place, l'équipe VSP TECH peut auditer votre configuration pour vos services de messagerie professionnelle ou messagerie entreprise. Ouvrez un ticket de support pour un diagnostic complet.
