Générateur et vérificateur d'enregistrement SPF
Vérifiez votre enregistrement SPF include par include, en comptant les requêtes DNS selon la limite de 10 qu’appliquent les serveurs destinataires. Créez ou fusionnez ensuite un seul enregistrement à partir des includes officiels de vos expéditeurs. Gratuit, sans inscription, rien n’est conservé.
Votre domaine
Essayez : salesforce.com, paypal.com
Créez ou fusionnez votre enregistrement SPF
Cochez les services qui envoient des emails pour vous. Chaque include provient de la documentation du fournisseur lui-même ; les services qui n’en ont besoin d’aucun sont signalés. Le nombre de requêtes s’actualise en direct.
Séparez-les par des virgules ou des espaces ; l’IPv6 fonctionne aussi.
Tout autre include, exists ou redirect. Un domaine seul devient un include.
Les deux fonctionnent avec DMARC. Microsoft recommande -all ; l’exemple de Google utilise ~all.
Fusionner plusieurs enregistrements SPF en un seul
Les doublons sont supprimés et une seule terminaison est conservée.
Qu’est-ce que le SPF ?
Le SPF (Sender Policy Framework) est un enregistrement TXT de votre domaine qui liste les serveurs autorisés à envoyer des emails en son nom. Les serveurs destinataires comparent le serveur d’envoi au domaine du return-path (l’expéditeur d’enveloppe) ; l’adresse From que voit le destinataire relève de DMARC.
C’est pourquoi DMARC exige que SPF ou DKIM soit validé pour un domaine aligné sur le From. Avec Account Engagement (Pardot) et la plupart des outils d’emailing, c’est DKIM qui joue ce rôle, car ils envoient avec leur propre return-path.
- Emplacement
- le domaine lui-même (@)
- Commence par
v=spf1- Nombre d’enregistrements par nom
- exactement un
- Limite de requêtes
- 10, et 2 sans réponse
- Norme
- RFC 7208 (2014)
La limite des 10 requêtes DNS
Les serveurs destinataires s’arrêtent à 10. Au-delà, le SPF renvoie une erreur permanente et le contrôle SPF échoue, comme si vous n’aviez aucun enregistrement.
- 10Requêtes DNS par vérification, chaque include avec tout ce qu’il contient
- 2Requêtes sans réponse (void lookups)
| Élément | Coûte une requête | Remarque |
|---|---|---|
include: | Oui, plus tout ce qu'il contient | La cause la plus fréquente de dépassement de la limite |
a, mx | Oui | mx peut mener à 10 serveurs de messagerie au maximum |
ptr | Oui | À éviter (RFC 7208, 5.5) |
exists: | Oui | Souvent avec des macros, comme dans l’include de Salesforce |
redirect= | Oui | Ignoré si l’enregistrement contient un all |
ip4, ip6, all | Non | Les adresses ne coûtent rien |
Les requêtes sans réponse (void lookups) sont limitées à deux.
Corriger l’erreur « too many DNS lookups »
Procédez dans cet ordre. Les trois premières étapes suffisent à passer sous la barre des 10 pour la plupart des enregistrements.
- 1
Repérer ce qui coûte le plus
Vérifiez votre domaine ci-dessus : l’arborescence montre chaque include avec ses propres requêtes et son total.
- 2
Supprimer les services que vous avez quittés
Les anciens outils de newsletter et les anciens CRM restent souvent des années dans l’enregistrement. Google conseille de retirer les includes des services qui n’envoient plus.
- 3
Retirer les includes inutiles
Pardot, Marketing Cloud Next, Mailchimp, Postmark et Klaviyo passent le contrôle SPF avec leur propre return-path. Leur include ne fait qu’ajouter des requêtes.
- 4
Donner un sous-domaine à un expéditeur
Le sous-domaine news.example.com reçoit son propre enregistrement SPF, avec sa propre limite de 10 requêtes. Microsoft le suggère pour les envois en masse.
- 5
Aplatir seulement en dernier recours
Remplacer les includes par des adresses IP économise des requêtes, mais l’enregistrement devient faux dès qu’un fournisseur change de serveurs. Le vérificateur montre ce que cela donnerait pour votre enregistrement.
Le bon include par expéditeur
D’après la documentation de chaque fournisseur, vérifiée les 16 et 17 octobre 2026. Plusieurs n’ont besoin d’aucun include.
| Expéditeur | Ce qu’il faut ajouter au SPF | Source |
|---|---|---|
| Google Workspace | include:_spf.google.com | Google, octobre 2026 (s’ouvre dans un nouvel onglet) |
| Microsoft 365 | include:spf.protection.outlook.com | Microsoft, juillet 2026 (s’ouvre dans un nouvel onglet) |
| Salesforce (Sales Cloud et Service Cloud) | include:_spf.salesforce.com | Salesforce, octobre 2026 (s’ouvre dans un nouvel onglet) |
| Account Engagement (Pardot) | Rien : passe le contrôle SPF par lui-même | Salesforce, avril 2026 (s’ouvre dans un nouvel onglet) |
| Marketing Cloud Next | Rien : le CNAME de retour (bounce) couvre le SPF | Salesforce, septembre 2026 (s’ouvre dans un nouvel onglet) |
| HubSpot | include:<account>.spf0X.hubspotemail.net, par compte | HubSpot, septembre 2026 (s’ouvre dans un nouvel onglet) |
| SendGrid | include:sendgrid.net, uniquement avec l’option automated security désactivée | Twilio, août 2026 (s’ouvre dans un nouvel onglet) |
| Mailgun, Mailjet | include:mailgun.org, include:spf.mailjet.com | Mailgun (s’ouvre dans un nouvel onglet), Mailjet, juillet 2026 (s’ouvre dans un nouvel onglet) |
| Zoho Mail | include:zohomail.com | Zoho, octobre 2026 (s’ouvre dans un nouvel onglet) |
| Zendesk, Freshdesk | include:mail.zendesk.com (smtp. et support.zendesk.com sont obsolètes), include:email.freshdesk.com | Zendesk, octobre 2026 (s’ouvre dans un nouvel onglet), Freshdesk (s’ouvre dans un nouvel onglet) |
| Mailchimp, Postmark, Klaviyo, Brevo | Rien : leur propre return-path ou DKIM s’en charge | Mailchimp (s’ouvre dans un nouvel onglet), Postmark (s’ouvre dans un nouvel onglet), Klaviyo (s’ouvre dans un nouvel onglet), Brevo (s’ouvre dans un nouvel onglet) |
| Amazon SES | Rien sur le domaine ; avec un MAIL FROM personnalisé, include:amazonses.com sur ce sous-domaine | AWS (s’ouvre dans un nouvel onglet) |
Ce qu’il faut vraiment savoir sur l’aplatissement SPF
Il règle le problème du nombre de requêtes DNS, mais crée un nouveau risque.
- Ce qu’il fait
Des adresses IP au lieu des includes
L’aplatissement (flattening) remplace les includes par les adresses IP qui se trouvent derrière : celles-ci ne coûtent aucune requête.
- Le risque
Les fournisseurs changent de serveurs
Un enregistrement aplati est un instantané. Quand un expéditeur ajoute un serveur, ses emails échouent au contrôle SPF tant que vous n’avez pas mis l’enregistrement à jour. Microsoft déconseille d’aplatir Microsoft 365 et recommande de revoir les entrées aplaties au moins une fois par trimestre.
- Notre conseil
Commencez par retirer, omettre et séparer
La plupart des enregistrements passent sous 10 sans aplatissement. dmarcian a abandonné sa propre fonction d’aplatissement et le qualifie de pis-aller. Les enregistrements avec des macros, comme celui de Salesforce, ne peuvent pas être aplatis du tout.
~all, -all ou autre chose ?
La fin de l’enregistrement indique comment traiter les serveurs qui n’y figurent pas. Si vous avez DMARC, c’est DMARC qui décide du sort de l’email.
-all. Échec (fail) : les autres serveurs ne sont pas autorisés. Microsoft le recommande.~all. Échec léger (soft fail) : probablement pas autorisés. L’exemple d’enregistrement de Google se termine ainsi.?all. Neutre : aucune indication sur les autres serveurs. Évitez-le.+all. Réussite (pass) : n’importe quel serveur sur Internet peut envoyer en votre nom. Ne l’utilisez jamais.
SPF avec Pardot et Marketing Cloud Next
Ce que disent les pages d’aide de Salesforce sur le SPF (vérifié le 17 octobre 2026).
Account Engagement (Pardot)
Les emails Pardot passent le contrôle SPF d’eux-mêmes : Salesforce indique qu’aucune mise en place SPF n’est nécessaire, et aspmx.pardot.com ne figure pas dans l’aide actuelle. Le return-path étant un domaine Salesforce, le SPF n’est pas aligné sur votre adresse From. DMARC est donc validé grâce à DKIM (sélecteur 200608).
Marketing Cloud Next
Le SPF est assuré par le CNAME de retour (bounce) du domaine authentifié ; Salesforce le gère et indique qu’aucun enregistrement SPF supplémentaire n’est nécessaire. En revanche, les emails envoyés depuis Sales Cloud ou Service Cloud nécessitent include:_spf.salesforce.com.
FAQ sur l’enregistrement SPF
Des réponses courtes aux questions fréquentes sur le SPF.
Puis-je avoir deux enregistrements SPF ?
Non. Si un nom a plus d’un enregistrement commençant par v=spf1, SPF renvoie une erreur permanente pour chaque message. Fusionnez-les en un seul.
Comment fusionner deux enregistrements SPF ?
Collez-les tous les deux sous « Fusionner plusieurs enregistrements SPF » dans le générateur. Chaque mécanisme n’est gardé qu’une fois et une seule terminaison est conservée. Vérifiez ensuite le nombre de requêtes : deux enregistrements de 6 requêtes chacun en font 12.
Comment corriger « SPF permerror: too many DNS lookups » ?
Retirez les includes des services que vous avez quittés, supprimez ceux des expéditeurs qui n’en ont pas besoin (Pardot, Marketing Cloud Next, Mailchimp) et placez un expéditeur sur son propre sous-domaine. N’aplatissez qu’en dernier recours.
Mon enregistrement SPF doit-il se terminer par ~all ou -all ?
Les deux fonctionnent avec DMARC. Microsoft recommande -all ; l’exemple de Google utilise ~all. N’utilisez jamais +all.
Dois-je ajouter Pardot à mon enregistrement SPF ?
Non. Salesforce indique que les emails Account Engagement passent le contrôle SPF d’eux-mêmes. Ce qui compte pour DMARC, c’est la clé DKIM (sélecteur 200608).
Les sous-domaines utilisent-ils l’enregistrement SPF du domaine ?
Non. SPF se vérifie pour le domaine exact du return-path : un sous-domaine qui envoie a donc besoin de son propre enregistrement.
Qu’est-ce qu’une recherche sans réponse (void lookup) ?
Une requête qui ne trouve rien, par exemple un include vers un nom qui n’existe plus. Au-delà de deux, les serveurs destinataires devraient considérer le contrôle SPF comme en échec.
Le domaine que je vérifie est-il conservé ?
Non. Votre navigateur envoie les noms à notre serveur, qui interroge un résolveur DNS public. Rien n’est sauvegardé, aucun domaine n’est journalisé et le résolveur ne voit jamais votre adresse IP.
D’autres outils gratuits
Avec nous, Salesforce Marketing travaille pour vous
Parlez à un consultant certifié, pas à un commercial, et sortez du premier appel en sachant quelle est votre prochaine étape.