SPF, DKIM, DMARC : protéger l’e-mail de votre domaine, pas à pas

SPF, DKIM et DMARC sont trois enregistrements DNS qui permettent aux messageries de vérifier qu’un e-mail envoyé « depuis » votre domaine l’est vraiment par vous. SPF liste les serveurs autorisés, DKIM signe les messages, DMARC dit quoi faire quand une vérification échoue et vous envoie des rapports. Sans eux, il est plus facile d’usurper votre adresse, et vos propres messages risquent d’atterrir en courrier indésirable.

La mise en place de DMARC doit être progressive : on commence par observer (politique « none »), on corrige les sources d’envoi légitimes, puis on durcit (« quarantine », puis « reject »). Voici les étapes, avec les exigences publiées par Google et Yahoo depuis 2024 pour les expéditeurs.

À quoi servent SPF, DKIM et DMARC ?

L’en-tête « De » d’un e-mail se falsifie très facilement. Les trois mécanismes ajoutent des preuves vérifiables :

• SPF (Sender Policy Framework) : un enregistrement TXT dans la zone DNS du domaine qui liste les serveurs et services autorisés à envoyer des messages pour ce domaine.
• DKIM (DomainKeys Identified Mail) : une signature numérique ajoutée à chaque message, vérifiable grâce à une clé publique publiée dans le DNS. Elle atteste que le message n’a pas été modifié en route et vient d’un service autorisé.
• DMARC (Domain-based Message Authentication, Reporting and Conformance) : une politique, publiée dans le DNS, qui s’appuie sur SPF et DKIM et exige que le domaine visible dans l’adresse « De » soit cohérent (aligné) avec l’un d’eux. Elle indique le traitement des messages en échec (aucun, quarantaine, rejet) et permet de recevoir des rapports.

Ils ne chiffrent pas vos messages et ne filtrent pas les e-mails que vous recevez. Ils protègent la réputation de votre domaine d’envoi. Ils s’intègrent à une démarche plus large : protéger la messagerie et les comptes.

De quoi a-t-on besoin avant de commencer ?

• l’accès à la zone DNS du domaine (chez le registrar ou l’hébergeur) ;
• la liste de tous les services qui envoient des e-mails avec votre domaine : messagerie principale (Microsoft 365, Google Workspace…), outil de newsletter, logiciel de facturation, formulaire du site, CRM, outil de support ;
• une adresse de réception des rapports DMARC, de préférence dédiée ;
• une personne chargée de modifier le DNS avec prudence : une erreur peut bloquer le courrier.

L’inventaire est l’étape la plus négligée. Un service oublié, comme le formulaire de contact du site, verra ses messages rejetés quand la politique sera durcie.

Comment mettre en place SPF et DKIM ?

SPF. Il n’existe qu’un seul enregistrement SPF par domaine. Il assemble les mentions (« include ») de chaque service d’envoi, et se termine par un mécanisme qui précise le traitement des autres sources. Chaque fournisseur (messagerie, newsletter) donne la mention à ajouter. Deux pièges classiques : créer deux enregistrements SPF au lieu d’un seul fusionné, et dépasser la limite de 10 recherches DNS prévue par la norme (RFC 7208).

DKIM. Chaque service d’envoi génère sa propre clé : vous publiez dans le DNS les enregistrements qu’il fournit (souvent un CNAME ou un TXT pour un « sélecteur »), puis vous activez la signature dans son interface. Google exige des clés d’au moins 1024 bits et recommande 2048 bits dans ses règles pour les expéditeurs.

Attendez que ces deux mécanismes soient actifs depuis un moment avant d’activer DMARC : Google préconise par exemple d’attendre au moins 48 heures dans sa documentation de configuration de DMARC.

Comment déployer DMARC progressivement : none, quarantine, reject ?

Un enregistrement DMARC est un TXT publié sur _dmarc.votredomaine.fr. Ses balises principales : v (version, DMARC1), p (politique), pct (pourcentage de messages concernés) et rua (adresse de réception des rapports agrégés).

1. Observer avec p=none. Rien n’est bloqué, mais vous recevez des rapports qui montrent qui envoie des messages en votre nom. Gardez cette phase quelques semaines, le temps de couvrir les envois mensuels.
2. Corriger. Pour chaque source légitime qui échoue à l’alignement, configurez correctement SPF ou DKIM. Identifiez aussi les sources inconnues, signes possibles d’usurpation.
3. Passer à p=quarantine, avec pct progressif. Les messages en échec sont traités comme suspects (courrier indésirable). Commencez par un faible pourcentage et augmentez-le.
4. Passer à p=reject. Les messages qui échouent sont refusés. Faites-le quand les rapports ne montrent plus de source légitime en échec.
5. Surveiller en continu. Chaque nouvel outil d’envoi doit être déclaré (SPF, DKIM) avant son lancement.

Les rapports agrégés sont des fichiers XML peu lisibles ; des outils gratuits ou payants les traduisent. Si vous utilisez un tel service, vérifiez comment il traite les données (adresses IP, noms de domaine) avant de lui déléguer la réception.

Que demandent Google et Yahoo aux expéditeurs ?

Depuis février 2024, Google applique des règles plus strictes pour les envois vers Gmail, et Yahoo a publié des exigences comparables.

Selon l’aide Google sur les règles d’expédition :

• Tous les expéditeurs : authentifier avec SPF ou DKIM, disposer de DNS inverse valide, utiliser TLS, formater les messages selon la RFC 5322 et garder le taux de spam sous 0,3 % dans Postmaster Tools.
• Expéditeurs en masse (plus de 5 000 messages par jour vers des comptes Gmail) : SPF et DKIM, et une politique DMARC (au minimum p=none), avec alignement du domaine « De » sur SPF ou DKIM ; pour les messages marketing, désabonnement en un clic et lien visible dans le corps du message.

Yahoo indique de son côté, dans ses bonnes pratiques pour expéditeurs, des exigences similaires (SPF et DKIM, DMARC pour les envois en masse, désabonnement en un clic, taux de plaintes inférieur à 0,3 %). Ces règles peuvent évoluer : relisez les pages officielles avant une campagne.

Une TPE qui envoie quelques centaines de messages par jour n’est pas dans la catégorie « en masse », mais SPF ou DKIM restent attendus pour tous, et DMARC est une bonne pratique générale.

Quels sont les pièges à éviter ?

• Passer à reject trop vite, sans avoir inventorié tous les services d’envoi.
• Oublier les sous-domaines : la balise sp permet de définir leur politique.
• Multiplier les enregistrements SPF ou dépasser la limite de recherches DNS.
• Laisser des clés DKIM anciennes après le départ d’un fournisseur.
• Ne pas lire les rapports : une politique sans suivi ne protège ni ne rassure.
• Confondre alignement et simple réussite SPF/DKIM : DMARC exige la cohérence avec le domaine visible.

Comment vérifier que tout fonctionne ?

Envoyez des messages de test depuis chaque service vers des boîtes Gmail et Outlook, et ouvrez les en-têtes complets du message reçu : les mentions SPF, DKIM et DMARC doivent indiquer « pass ». Comparez avec les rapports agrégés des jours suivants. Notez la date des changements dans un document de suivi, avec le nom de la personne qui a modifié le DNS.

Cette démarche rejoint celle des autres protections de comptes : double authentification en entreprise et premiers réflexes face à la cybermalveillance. Les envois de votre site (formulaires, confirmations) méritent aussi un contrôle : voir la checklist d’audit de sécurité.

Questions fréquentes

DMARC suffit-il à empêcher le phishing ?

Non. Il protège contre l’usurpation exacte de votre domaine dans l’adresse « De », pas contre un domaine voisin (par exemple avec une lettre changée) ni contre les messages qui incitent à donner un mot de passe depuis un autre domaine.

Faut-il tout configurer soi-même ?

Les enregistrements sont courts, mais un mauvais réglage peut bloquer le courrier. Si vous n’êtes pas à l’aise avec le DNS, faites-vous accompagner et demandez un plan de retour arrière.

Cela améliore-t-il la délivrabilité ?

Cela retire une cause fréquente de classement en indésirable, sans la garantir : le contenu, la réputation et les plaintes des destinataires comptent aussi.

Pour mettre en place SPF, DKIM et DMARC sans risque pour votre courrier, vous pouvez nous contacter en décrivant vos outils d’envoi. Notre page sécurité de la messagerie et des comptes détaille l’accompagnement.