Configurer SPF pour Google Workspace ou Microsoft 365

Par Jarod Capella · Mis à jour le 14 novembre 2026 · 2 min de lecture

Enregistrements relevés dans la documentation officielle de Google (knowledge.workspace.google.com, page « Set up SPF ») et de Microsoft (learn.microsoft.com, « Set up SPF to identify valid email sources for your Microsoft 365 domain », mise à jour juillet 2026), consultées le 02/11/2026. Vérifiez-les à nouveau avant toute modification : ces valeurs peuvent changer.

Principe

SPF est un enregistrement DNS de type TXT placé sur votre domaine, chez votre registrar ou hébergeur DNS (ni Google ni Microsoft ne le gèrent pour vous). Un seul enregistrement SPF par domaine : deux enregistrements provoquent une erreur permanente (permerror).

Google Workspace

v=spf1 include:_spf.google.com ~all

C'est la valeur indiquée par Google. ~all (échec « souple ») demande de marquer les messages d'autres sources ; Google recommande cette option.

Microsoft 365 (offre standard et GCC)

v=spf1 include:spf.protection.outlook.com -all

Microsoft recommande -all (échec « dur ») à condition de configurer aussi DKIM et DMARC. Les variantes pour les clouds gouvernementaux (GCC High, DoD) et 21Vianet existent : voir la page Microsoft.

Si vous utilisez aussi un autre service d'envoi

Ajoutez son include: (donné par ce service) dans le même enregistrement, avant le all final. Exemple Microsoft : v=spf1 ip4:192.168.0.10 include:spf.protection.outlook.com -all. Pour un service d'envoi en masse que vous ne maîtrisez pas, Microsoft conseille un sous-domaine (par exemple marketing.votredomaine.fr) avec son propre SPF.

Erreurs de syntaxe courantes (liste Microsoft)

Point final après le domaine : include:spf.protection.outlook.com.
Signe égal au lieu des deux-points : include=…
Espace après les deux-points : include: spf…

Limite de 10 requêtes DNS

Comptent : include, a, mx, exists, redirect. Ne comptent pas : ip4, ip6, all. Les include imbriqués ajoutent des requêtes. Au-delà de 10 : permerror. Ne « aplatissez » pas Microsoft 365 en adresses IP (elles changent souvent, selon Microsoft). Testez votre domaine avec le vérificateur ; voir aussi les erreurs fréquentes.

Ensuite

SPF seul ne suffit pas : ajoutez DKIM puis DMARC, en commençant par p=none pour observer avant de durcir.