SPF, DKIM et DMARC : réussir l'authentification e-mail

Deux constats concernent probablement votre domaine en ce moment même, et tous deux ont un coût financier direct.

N'importe qui peut usurper l'identité de votre entreprise. Sans politique DMARC configurée sur quarantine ou reject, un serveur de messagerie récepteur n'a aucune instruction pour rejeter un e-mail frauduleux envoyé en votre nom. C'est le mécanisme type des fraudes à la fausse facture ciblant vos clients.

Une partie de vos e-mails légitimes arrive dans les courriers indésirables. Depuis février 2024, Google et Yahoo imposent une authentification stricte aux expéditeurs de volume, rapidement rejoints par Microsoft. Les domaines sans configuration SPF, DKIM et DMARC rigoureuse sont de plus en plus filtrés ou rejetés.

Il ne s'agit pas d'un simple détail technique : si vous envoyez des confirmations de commande, des factures, des réinitialisations de mot de passe ou des e-mails marketing, l'authentification de domaine constitue une infrastructure stratégique de votre chiffre d'affaires.

Voici comment fonctionnent ces trois protocoles et comment les déployer sans bloquer vos envois légitimes.

SPF : autoriser vos serveurs d'envoi

Le SPF (Sender Policy Framework) est un enregistrement DNS TXT spécifiant les serveurs autorisés à envoyer des e-mails depuis votre domaine.

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

Décodage : version SPF 1 ; autoriser les serveurs de Google Workspace ; autoriser ceux de Mailchimp ; pour tout le reste, appliquer un échec modéré (soft fail).

Les trois pièges fréquents du SPF

La limite des 10 requêtes DNS. Chaque mécanisme include, a, mx, ptr, exists ou redirect génère une requête DNS (les includes imbriqués s'additionnent également). La norme RFC fixe une limite stricte de 10 requêtes. En cas de dépassement, le SPF renvoie un permerror — que la majorité des fournisseurs assimilent à un échec, entraînant le rejet de vos e-mails légitimes.

Ce seuil est vite franchi : l'accumulation de Google Workspace, d'un CRM, d'une plateforme marketing, d'un outil de support et d'un logiciel de facturation dépasse silencieusement les 10 lookups.

La correction consiste à épurer les services obsolètes ou à aplatir les règles (flattening) en renseignant directement les plages IP. Cette dernière option nécessite toutefois une maintenance régulière si les adresses IP du prestataire évoluent.

Les enregistrements SPF multiples. Un domaine ne doit comporter qu'un seul enregistrement SPF. Deux entrées TXT débutant par v=spf1 provoquent un permerror. Cela arrive souvent lors de l'intégration d'un nouveau prestataire ajoutant sa propre ligne au lieu de fusionner avec l'existante.

La directive de fin +all. Cette syntaxe autorise l'ensemble des serveurs du web à émettre des e-mails sous votre nom. C'est plus risqué que l'absence de SPF, car elle authentifie explicitement les usurpations. Elle provient généralement d'un test de dépannage temporaire jamais annulé.

Privilégiez ~all (soft fail) lors de la phase d'inventaire de vos outils, puis passez à -all (hard fail) une fois la liste des expéditeurs stabilisée.

DKIM : la signature cryptographique

Le DKIM (DomainKeys Identified Mail) ajoute une signature numérique aux en-têtes de vos e-mails sortants, générée par une clé privée détenue par votre fournisseur de messagerie. La clé publique correspondante est publiée dans votre zone DNS. Le serveur récepteur vérifie la signature, prouvant que le message provient bien de votre domaine et n'a pas été altéré en transit.

L'enregistrement se place sous selector._domainkey.votredomaine.com, où le sélecteur est défini par le prestataire (google, selector1, k1, etc.).

Deux points pratiques essentiels :

Impossible d'énumérer les sélecteurs de l'extérieur. Un outil de vérification en ligne qui indique « DKIM absent » signifie simplement qu'il n'a rien trouvé sur les sélecteurs courants qu'il a testés. Référez-vous à la documentation de votre fournisseur.

Chaque outil d'envoi nécessite son propre DKIM. Google Workspace signe les e-mails envoyés depuis Gmail, mais ne signe pas vos campagnes Mailchimp. Chaque plateforme émettrice doit être configurée individuellement.

DMARC : la politique de contrôle et d'alignement

Le SPF et le DKIM produisent des vérifications techniques. Le DMARC (Domain-based Message Authentication, Reporting and Conformance) dicte la conduite à tenir face aux résultats et impose l'alignement de domaine : le domaine validé par SPF ou DKIM doit correspondre à celui affiché dans l'en-tête From:.

L'alignement donne tout son sens au DMARC : sans lui, un fraudeur pourrait valider le SPF sur son propre domaine tout en affichant le vôtre dans le champ expéditeur visible.

v=DMARC1; p=reject; rua=mailto:dmarc@votredomaine.com; pct=100; adkim=s; aspf=s

• p= — la politique appliquée : none, quarantine ou reject
• rua= — l'adresse de réception des rapports consolidés
• pct= — pourcentage d'e-mails soumis à la politique (pour un déploiement progressif)
• adkim= / aspf= — rigueur de l'alignement : s (strict) ou r (relâché)

Le piège de la politique p=none

Une part importante des domaines configurés avec DMARC restent figés indéfiniment sur p=none.

p=none indique aux récepteurs : analysez, envoyez des rapports, mais délivrez quand même. Cette politique ne bloque aucune usurpation. Les e-mails falsifiés utilisant votre nom continuent d'atterrir dans les boîtes de réception.

C'est une étape de départ indispensable pour identifier l'ensemble des flux légitimes, mais ce n'est pas un état final. Un domaine en p=none procure un faux sentiment de sécurité sans protection concrète.

Déploiement progressif et sécurisé

Le risque d'un durcissement immédiat est de bloquer des flux d'e-mails professionnels oubliés (logiciel de comptabilité, outils RH, serveurs de logs). Une méthode par étapes évite toute rupture :

1. Publier p=none avec une balise rua=. Collecter les rapports pendant 2 à 4 semaines.
2. Analyser les rapports. Utilisez un analyseur XML pour identifier les sources légitimes en échec d'alignement.
3. Mettre en conformité chaque source légitime. Mettez à jour le SPF, activez le DKIM ou dédiez un sous-domaine.
4. Passer à p=quarantine; pct=10. Surveiller une semaine, puis augmenter à 50 % et 100 %.
5. Passer à p=reject. Une fois les rapports parfaitement conformes.

Pour une entreprise, ce processus s'étend sur 1 à 3 mois. Précipiter la phase 3 expose au risque de blocage des envois de factures clients.

Deux configurations souvent oubliées

Les sous-domaines. Le DMARC s'applique aux sous-domaines via la balise sp=. En son absence, les sous-domaines héritent de la politique principale. Les fraudeurs exploitent souvent des sous-domaines inutilisés (mail.votredomaine.com, facturation.votredomaine.com). Définissez sp=reject sur les domaines ne devant jamais émettre depuis des sous-domaines.

Les domaines dormants ou défensifs. Tout domaine réservé qui n'émet aucun e-mail doit publier v=spf1 -all et v=DMARC1; p=reject;. Les variantes orthographiques et anciennes marques sont des cibles d'usurpation privilégiées si elles restent non protégées.

Un point sur le standard BIMI

Une fois votre domaine sécurisé avec p=quarantine ou p=reject, le standard BIMI permet d'afficher le logo certifié de votre marque à côté de vos messages dans les messageries compatibles. Il nécessite un certificat VMC (Verified Mark Certificate), représentant un coût annuel d'environ 1 000 à 1 500 $.

C'est un atout d'image valorisant pour les émetteurs de gros volumes, mais il ne remplace pas le travail de fond : c'est un bénéfice visuel qui exige une authentification préalable irréprochable.

Vérifier votre configuration actuelle

Vous pouvez auditer les enregistrements en direct avec notre testeur de délivrabilité e-mail gratuit. Il interroge directement le DNS pour afficher l'état réel de vos déclarations.

Vous pouvez également les consulter en ligne de commande :

dig +short TXT votredomaine.com          # SPF parmi les résultats
dig +short TXT _dmarc.votredomaine.com   # DMARC
dig +short TXT google._domainkey.votredomaine.com  # DKIM selon le sélecteur
dig +short MX votredomaine.com           # Serveurs de réception

Ordre de priorité des actions

Pour démarrer de zéro :

1. Publier le SPF avec l'ensemble des services émetteurs, terminé par ~all
2. Activer le DKIM sur chacun de ces services
3. Publier le DMARC en p=none avec une adresse rua= de reporting
4. Analyser les rapports pendant un mois et corriger les non-conformités
5. Basculer en p=quarantine puis p=reject
6. Sécuriser les sous-domaines et domaines secondaires
7. Verrouiller le SPF avec -all

Les trois premières étapes demandent une demi-journée. Le suivi et le passage en rejet garantissent la protection définitive de votre marque contre l'usurpation.

Ouvrir l'outil Délivrabilité E-mail Interrogation DNS en direct pour SPF, DMARC, DKIM et MX — affichant vos enregistrements réels, sans estimation. →