SPF bloque-t-il vraiment tous les emails usurpés ?

Non, SPF (Sender Policy Framework) ne bloque pas tous les emails usurpés. Il constitue une première couche essentielle de protection, mais il présente des limites techniques que seuls des mécanismes complémentaires peuvent combler.

SPF vérifie que l’adresse IP du serveur expéditeur est autorisée à envoyer des emails au nom de votre domaine (défini dans l’enregistrement DNS SPF). Cela empêche efficacement l’usurpation directe de votre domaine dans le champ « Envelope From » (utilisé par les serveurs SMTP). Toutefois, un attaquant peut contourner SPF en falsifiant uniquement le champ « From » visible par le destinataire (celui affiché dans la boîte de réception), sans toucher à l’« Envelope From ». Dans ce cas, SPF passe au vert, mais l’email reste frauduleux.

Pour une protection robuste contre l’usurpation, 138 Messagerie d'entreprise recommande de déployer conjointement SPF, DKIM et DMARC — une approche en trois piliers :

• SPF : valide l’IP expéditrice.
• DKIM : signe numériquement le contenu de l’email pour garantir son intégrité.
• DMARC : définit la politique à appliquer lorsque SPF ou DKIM échouent, et permet de recevoir des rapports d’authentification.

Cette triple authentification est particulièrement critique pour les entreprises engagées dans le commerce extérieur ou la collaboration transfrontalière, où la crédibilité de l’expéditeur influence directement la livraison et la confiance client.

Sur la plateforme 138, ces protocoles sont pris en charge nativement. Lors de l’activation de votre messagerie professionnelle avec nom de domaine propre, vous pouvez configurer vos enregistrements DNS (SPF/DKIM/DMARC) via le portail officiel, avec des guides pas à pas et une vérification en temps réel. Notez toutefois que la propagation DNS peut prendre jusqu’à 48 heures, et qu’une mauvaise syntaxe dans les enregistrements rendra l’authentification inefficace.

En complément, 138 propose des fonctions actives de détection des emails frauduleux et des alertes pour les messages provenant d’expéditeurs inconnus — utiles pour sensibiliser les utilisateurs aux tentatives de phishing même si l’authentification technique est contournée.

Prochaines étapes : Connectez-vous à votre portail 138, accédez à la section « Gestion de domaine » pour vérifier l’état de vos enregistrements SPF/DKIM. Si vous migrez depuis un autre fournisseur ou configurez pour la première fois, utilisez l’outil de diagnostic intégré ou contactez le support officiel pour une validation technique. N’activez pas DMARC en mode « reject » immédiatement : commencez par « none » avec rapportage, puis renforcez progressivement après analyse des flux légitimes.