Gmail signale des e-mails comme possible usurpation d'identité

Si Gmail affiche un avertissement de possible usurpation d'identité, on ne peut pas l'attribuer uniquement à SPF. Ouvrez Afficher l'original dans Gmail et conservez Authentication-Results, Received et Return-Path pour identifier quelle vérification a échoué et quel serveur a réellement envoyé le message :

• Soyez prudent avec ce message. Gmail n'a pas pu vérifier qu'il provient réellement de dominio.com. Évitez de cliquer sur les liens, de télécharger les pièces jointes ou de répondre en communiquant des informations personnelles.

SPF autorise des serveurs pour le domaine utilisé dans MAIL FROM ou HELO ; il ne valide pas directement l'expéditeur visible de From. DKIM vérifie la signature du message et DMARC exige que SPF ou DKIM soient alignés sur le domaine visible. Examinez les trois résultats avant de modifier le DNS.

L'enregistrement SPF peut être modifié depuis cPanel, mais il ne doit autoriser que l'infrastructure qui envoie légitimement pour le domaine.

Si Gmail est configuré avec Envoyer des e-mails en tant que via le serveur SMTP de Hostsuar, le message sort par ce serveur externe et ajouter _spf.google.com ne corrige pas ce chemin. Conservez le SPF et le DKIM de Hostsuar et vérifiez leur alignement.

N'incluez _spf.google.com que lorsque le domaine envoie réellement via Google Workspace ou une autre infrastructure de Google, et configurez aussi la signature DKIM de Google. Après chaque modification, renvoyez un message d'essai et confirmez dans Afficher l'original que SPF, DKIM et DMARC donnent le résultat attendu.

S'il y a des redirections ou des intermédiaires

Une redirection peut faire échouer SPF, car elle change le serveur qui remet le message. DKIM peut rester valide si le contenu signé n'est pas modifié ; certains intermédiaires, listes ou pieds de page ajoutés l'altèrent. Analysez le parcours complet avant d'autoriser une nouvelle IP.

Modifiez les enregistrements chez le fournisseur DNS faisant autorité et gardez une seule politique SPF pour chaque nom : n'ajoutez pas un second enregistrement v=spf1. Un résultat d'authentification correct ne prouve pas non plus que le contenu est légitime. Si le message est inattendu, confirmez son origine par un autre canal avant d'ouvrir des liens ou de communiquer des informations.