SPF : Sender Policy Framework
Réseau
SPF : Sender Policy Framework, mécanisme d'authentification de la messagerie qui publie dans le DNS la liste des serveurs autorisés à envoyer du courrier pour un domaine. « La liste des facteurs habilités à distribuer le courrier d'une maison », par analogie avec une liste de livreurs agréés, qui vérifie le camion sans jamais lire l'adresse de l'expéditeur imprimée sur le colis.
Fonctionnement : Le domaine publie un enregistrement TXT commençant par v=spf1 et listant adresses, plages et inclusions autorisées. Le serveur destinataire compare l'adresse IP de l'émetteur à cette liste. La norme actuelle est la RFC 7208, publiée en 2014 ; elle limite l'évaluation à dix requêtes DNS, limite que l'empilement des services cloud atteint avec une régularité touchante.
Ce qu'il ne vérifie pas : SPF contrôle le domaine de l'enveloppe SMTP (Simple Mail Transfer Protocol), pas l'adresse « De : » affichée au destinataire. C'est DMARC (Domain-based Message Authentication, Reporting and Conformance) qui exige l'alignement entre les deux, en s'appuyant sur SPF et sur DKIM (DomainKeys Identified Mail), la signature cryptographique des messages. Un courriel légitime piégé, envoyé par le bon serveur, passe les trois contrôles.
Homonyme : En routage, SPF désigne Shortest Path First, l'algorithme de plus court chemin de Dijkstra utilisé par OSPF. Et sur un flacon de crème solaire, Sun Protection Factor, qui protège d'autre chose.
Ce qui arrive si on s'en passe
Un domaine sans enregistrement SPF, ou terminé par un +all qui autorise le monde entier, laisse n'importe quel serveur envoyer du courrier en son nom avec de bonnes chances d'atteindre la boîte de réception. Un SPF trop permissif, qui inclut toute la plage d'un hébergeur mutualisé, autorise de la même façon chaque client de cet hébergeur. À l'inverse, se croire protégé par SPF seul, sans DMARC, laisse passer les usurpations de l'adresse affichée, qui sont précisément celles que lisent les victimes d'hameçonnage.
Explication de la marmotte
Quand un courriel arrive, le serveur qui le reçoit veut savoir s'il vient vraiment du domaine annoncé. Grâce à SPF, le propriétaire d'un domaine publie une liste des serveurs autorisés à envoyer ses messages. Le destinataire vérifie que le message vient bien de l'un d'eux ; sinon, il peut le refuser ou le marquer comme suspect. SPF ne suffit pas seul, car il ne contrôle pas l'adresse que l'on voit affichée ; il fonctionne avec deux autres mécanismes, DKIM et DMARC.
Où ce terme est utilisé
- Déployer DMARC de observation à reject (18 occurrences)
- Déployer SPF DKIM DMARC jusqu'à reject (16 occurrences)
- Détecter le contenu IA malveillant : limites (6 occurrences)
- Comment former contre le phishing sans culpabiliser (5 occurrences)
- Routage interne, redistribution et stabilité (4 occurrences)
- Comment contrer le spear phishing et la fraude au président (2 occurrences)
- Fraude au président par voix clonée et visio truquée (2 occurrences)
- Mener une simulation de phishing interne éthique avec GoPhish (2 occurrences)
- OSINT défensif : mesurer et réduire l'exposition publique (2 occurrences)
- Pourquoi le phishing fonctionne malgré la formation (2 occurrences)