SPF sur 1 000 sites publics locaux français (octobre 2026)

About this dataset

Relevé, le 17 octobre 2026, des enregistrements SPF (RFC 7208) de 1 000 domaines de sites publics locaux français (communes, intercommunalités, établissements publics). Même échantillon que nos relevés DMARC, MTA-STS, DNSSEC et IPv6 d'octobre 2026. SPF indique quels serveurs ont le droit d'envoyer du courrier au nom d'un domaine. La fin de l'enregistrement fixe ce que doit faire le destinataire pour tout autre serveur : `-all` rejeter, `~all` accepter en marquant comme suspect, `?all` ne rien conclure, `+all` tout accepter. Résultats sur les 855 domaines qui reçoivent du courrier (MX présent) : | Politique | Domaines | Part | |---|---|---| | `~all` (souple) | 415 | 48,5 % | | `-all` (strict) | 313 | 36,6 % | | `?all` (neutre) | 65 | 7,6 % | | aucun SPF | 58 | 6,8 % | | `+all` (tout serveur autorisé) | 2 | 0,2 % | | plusieurs enregistrements SPF (invalide) | 1 | 0,1 % | | délégation `redirect=` | 1 | 0,1 % | Sur les 145 domaines sans MX, 126 n'ont aucun SPF. Un domaine qui n'envoie jamais de courrier peut publier `v=spf1 -all` pour qu'on ne puisse pas l'usurper ; c'est le cas de 6 d'entre eux. Au total, 4 domaines de l'échantillon publient `+all`, ce qui revient à autoriser n'importe quel serveur à envoyer en leur nom (vérifié sur l'enregistrement brut). SPF ne suffit pas seul : il s'apprécie avec DMARC (voir notre relevé DMARC du même échantillon). Côté utilisateur, réduire le spam reçu passe par d'autres gestes : how to stop spam emails. Méthode : requête DNS-over-HTTPS (Cloudflare) sur l'enregistrement TXT de chaque domaine, 3 essais ; un échec aurait été classé `non_mesure` (0 cas). Mécanisme `all` lu en fin d'enregistrement ; un `all` sans qualificatif vaut `+all` selon la RFC. Le MX vient de notre relevé MTA-STS du même jour. Témoins : google.com `~all`, gmail.com délégué par `redirect=`, example.com `-all`, proton.me `~all`, domaine inexistant sans SPF. 20 domaines tirés au hasard recoupés sur un second résolveur (dns.google) : 0 divergence sur la présence de SPF. Limites : les `include:` ne sont pas suivis (la limite de 10 requêtes DNS de la RFC n'est donc pas vérifiée) ; échantillon non exhaustif. Colonnes : `domaine`, `spf` (oui/non), `nb_enregistrements`, `politique` (-all, ~all, ?all, +all, redirect, sans_all), `verdict` (strict, souple, neutre, permissif, delegue, sans_mecanisme_all, sans_spf, invalide_multiple, non_mesure). Script de collecte fourni. Licence ouverte.