Apprendre · Authentification des e-mails

SPF, DKIM et DMARC expliqués

Si quelqu’un peut envoyer un e-mail qui semble venir de vous, il peut vider le portefeuille de vos clients en utilisant votre nom. SPF, DKIM et DMARC sont les trois standards qui empêchent cela. Ensemble, ils indiquent deux choses aux serveurs de messagerie de réception : ce message vient vraiment de votre domaine, et quoi en faire si ce n’est pas le cas.

Qu’est-ce que SPF ?

SPF (Sender Policy Framework) est un enregistrement DNS qui liste tous les serveurs autorisés à envoyer des e-mails pour votre domaine. Les serveurs de réception le vérifient par rapport à l’expéditeur d’enveloppe — le chemin de retour — et indiquent si le résultat est pass, fail ou softfail.

v=spf1 include:_spf.google.com ~all

Cet enregistrement dit : « Google est autorisé à envoyer pour ce domaine ; tous les autres sont suspects. » SPF a toutefois un angle mort : il ne vérifie que l’adresse d’enveloppe, et le transfert le casse. C’est pourquoi, à lui seul, c’est le plus faible des trois. Consultez SPF expliqué pour une vue complète.

Qu’est-ce que DKIM ?

DKIM (DomainKeys Identified Mail) est une signature numérique. Votre serveur de messagerie signe chaque message sortant avec une clé privée et publie la clé publique correspondante dans DNS. Le serveur de réception vérifie la signature par rapport à l’adresse From : si la vérification réussit, l’e-mail vient réellement de votre domaine, même après avoir été transféré.

selector._domainkey.example.com v=DKIM1; k=rsa; p=MIGfMA0G...

DKIM prouve que le message n’a pas été modifié en chemin et que votre domaine l’a envoyé — mais seulement lorsque la clé correspond au domaine dans l’en-tête From. Consultez DKIM expliqué pour comprendre le fonctionnement des sélecteurs et des clés.

Qu’est-ce que DMARC ?

DMARC relie SPF et DKIM. Son enregistrement DNS indique quelle vérification doit réussir, et ce que les serveurs de réception doivent faire lorsque les deux échouent :

• p=none — observer, mais ne pas bloquer (mode surveillance)
• p=quarantine — envoyer les échecs en spam
• p=reject — les bloquer directement

DMARC exige aussi l’alignement : le domaine dans l’en-tête From doit correspondre au domaine qui a réussi SPF ou DKIM. C’est l’élément qui empêche vraiment quelqu’un d’utiliser votre domaine dans une arnaque. Et chaque message génère un rapport vers l’adresse indiquée dans votre enregistrement, afin que vous puissiez voir tous ceux qui envoient en votre nom — nous expliquons comment les lire dans rapports DMARC expliqués.

Une chose à savoir avant de commencer : publier p=none ne bloque encore rien — cela active les rapports. La protection arrive lorsque vous resserrez vers quarantine puis reject, un processus que nous détaillons dans politiques DMARC expliquées.

Comment SPF, DKIM et DMARC fonctionnent ensemble

Voyez cela comme une chaîne : SPF vérifie l’adresse de retour, DKIM vérifie la signature, et DMARC décide de ce qui se passe quand l’un ou l’autre échoue — puis vous envoie un rapport par e-mail. Publiez les trois et appliquez p=reject, et votre domaine devient presque impossible à usurper.

Pourquoi DMARC est important maintenant

• Les fournisseurs de boîtes mail l’exigent. Depuis 2024, Gmail et Yahoo exigent des expéditeurs en masse — 5 000 messages ou plus par jour — qu’ils mettent en place DMARC, et Microsoft a suivi pour Outlook. Sans cela, les e-mails légitimes sont ralentis ou envoyés en indésirables, quel que soit leur contenu.
• Délivrabilité. S’authentifier et conserver l’alignement DMARC est un signal de réputation positif, même pour les petits expéditeurs. Ne pas s’authentifier vous fait perdre silencieusement votre place en boîte de réception bien avant que quelqu’un ne s’en aperçoive.
• Prévention de la fraude. Avec une politique reject, les e-mails usurpés utilisant exactement votre domaine n’arrivent plus chez aucun fournisseur grand public. Les fraudeurs passent à des domaines ressemblants — une attaque beaucoup plus faible, qui ne porte plus la confiance associée à votre nom.
• Visibilité. La plupart des organisations découvrent des expéditeurs oubliés dès leur première semaine de rapports. Un vieux CRM. Un outil marketing auquel quelqu’un s’est inscrit. Un serveur mal configuré.

Bien démarrer

La séquence sûre : publiez DMARC avec p=none et une adresse rua, observez les rapports jusqu’à ce que chaque expéditeur légitime (votre plateforme mail, vos ESP, votre système de facturation) réussisse avec alignement, puis resserrez vers quarantine et enfin reject. Les rapports arrivent sous forme de fichiers XML conçus pour les machines, pas pour les humains — et c’est là tout l’intérêt d’un service de surveillance : il les transforme en tableau de bord, identifie les expéditeurs par leur nom et signale ce qui casserait avant que vous n’appliquiez une politique plus stricte.

Vérifications gratuites : Vérificateur DMARC Vérificateur SPF Vérificateur DKIM Vérificateur de spam