SPF, DKIM et DMARC en dix minutes

Vous pouvez écrire le meilleur e-mail de votre vie sans que personne ne le lise. Pas parce que l’objet est faible, mais parce que le serveur qui le reçoit ne sait pas si c’est vraiment vous qui l’avez envoyé et, dans le doute, il le classe en spam.

Pour lever ce doute, il existe trois enregistrements que l’on publie dans le DNS de votre domaine : SPF, DKIM et DMARC. Depuis 2024, Gmail et Yahoo les exigent de ceux qui envoient des e-mails à leurs utilisateurs, et Outlook aussi depuis 2025. La bonne nouvelle, c’est qu’ils se configurent une fois, en une dizaine de minutes, et qu’on n’a plus besoin d’y toucher. Dans cet article, nous expliquons ce que fait chacun, comment les configurer dans Google Workspace et Microsoft 365 et comment vérifier qu’ils fonctionnent.

Le problème : n’importe qui peut écrire votre adresse

L’e-mail a été conçu à une époque où personne ne pensait à l’usurpation d’identité. Le protocole permet à n’importe quel serveur d’envoyer un message qui affiche « De : marie@votreentreprise.com », tout comme n’importe qui peut écrire votre adresse comme expéditeur au dos d’une enveloppe.

SPF, DKIM et DMARC sont le moyen de prouver que l’enveloppe est bien la vôtre. Chacun répond à une question différente :

• SPF : ce serveur a-t-il le droit d’envoyer des e-mails pour ce domaine ?
• DKIM : le message porte-t-il la signature du domaine, et n’a-t-il pas été modifié en chemin ?
• DMARC : si l’un des deux échoue, que doit faire le destinataire ? Et à qui doit-il le signaler ?

Une bonne comparaison est la lettre recommandée : SPF est la liste des bureaux de poste autorisés à envoyer en votre nom, DKIM est le cachet de cire et DMARC, ce sont les instructions que vous laissez au bureau de destination sur ce qu’il faut faire d’une lettre sans cachet.

SPF : qui peut envoyer en votre nom

SPF (Sender Policy Framework) est un enregistrement texte (TXT) de votre domaine qui contient la liste des serveurs autorisés à envoyer des e-mails en son nom. Quand un message arrive, le serveur de destination regarde d’où il vient et le compare à cette liste.

Un enregistrement SPF ressemble à ceci :

v=spf1 include:_spf.google.com ~all

• v=spf1 indique qu’il s’agit d’un enregistrement SPF.
• include:_spf.google.com autorise les serveurs de Google Workspace. Avec Microsoft 365, ce serait include:spf.protection.outlook.com.
• ~all indique que tout autre serveur n’est « probablement pas » autorisé (échec souple). Avec -all, l’échec est strict.

Trois erreurs fréquentes :

1. Avoir deux enregistrements SPF. Il ne peut y en avoir qu’un par domaine. Si vous utilisez Google Workspace et, en plus, un outil de facturation qui envoie des e-mails, les deux include vont dans le même enregistrement : v=spf1 include:_spf.google.com include:autreservice.com ~all.
2. Dépasser dix requêtes. Chaque include compte comme une requête DNS, et certains en cachent d’autres. La norme fixe un maximum de dix ; au-delà, la vérification échoue.
3. Oublier un service. Si vous envoyez depuis un serveur qui n’est pas dans la liste (votre site, votre CRM, un outil de prospection avec son propre SMTP), ces e-mails échoueront au contrôle SPF.

DKIM : la signature de chaque e-mail

DKIM (DomainKeys Identified Mail) ajoute une signature numérique à chaque e-mail. Votre fournisseur signe le message avec une clé privée que lui seul possède, et vous publiez la clé publique dans le DNS pour que n’importe qui puisse vérifier la signature. Si quelqu’un change une virgule du message en chemin, la signature ne correspond plus.

Contrairement au SPF, la clé DKIM ne s’invente pas : c’est votre fournisseur de messagerie qui la génère, et vous n’avez qu’à la copier dans le DNS.

• Google Workspace : dans la console d’administration, allez dans Applications › Google Workspace › Gmail › Authentifier les e-mails, générez une clé de 2048 bits et copiez l’enregistrement TXT qu’on vous donne, sous le nom google._domainkey. Revenez ensuite à la console et cliquez sur Démarrer l’authentification.
• Microsoft 365 : dans le portail Microsoft Defender, les paramètres DKIM de votre domaine vous indiquent deux enregistrements CNAME (selector1._domainkey et selector2._domainkey). Vous les créez dans votre DNS et vous activez la signature.

La partie avant ._domainkey s’appelle le sélecteur. Il permet à un même domaine d’avoir plusieurs clés, par exemple une pour Google et une autre pour votre outil de facturation.

DMARC : que faire quand quelque chose échoue

SPF et DKIM vérifient des choses, mais ne disent pas quoi faire en cas d’échec. C’est le rôle de DMARC (Domain-based Message Authentication, Reporting and Conformance), qui ajoute une condition importante : l’alignement. Il ne suffit pas que l’e-mail passe SPF ou DKIM ; le domaine qui les passe doit être le même que celui qui apparaît dans le « De : » que voit le destinataire.

L’enregistrement DMARC est un autre TXT, avec le nom _dmarc sur votre domaine :

v=DMARC1; p=none; rua=mailto:dmarc@votreentreprise.com

• p= est la politique : none (ne fais rien, contente-toi de m’informer), quarantine (envoie-le en spam) ou reject (rejette-le).
• rua= est l’adresse à laquelle les grands fournisseurs vous envoient des rapports quotidiens indiquant qui envoie des e-mails au nom de votre domaine et si ces e-mails passent les vérifications.

Comment avancer sans rien casser :

1. Commencez avec p=none et une adresse rua. C’est le minimum qu’exigent Google, Yahoo et Microsoft.
2. Pendant quelques semaines, consultez les rapports (des services gratuits les rendent lisibles). Cherchez les services légitimes qui échouent : le site qui envoie des formulaires, l’outil de facturation, la newsletter.
3. Quand tout ce qui est légitime passe, montez à p=quarantine puis, plus tard, à p=reject. À partir de là, quiconque essaiera d’usurper votre domaine aura beaucoup de mal.

Ce qu’exigent Gmail, Yahoo et Outlook

Depuis février 2024, Google et Yahoo exigent de tous les expéditeurs SPF ou DKIM. À ceux qui envoient plus de 5 000 e-mails par jour à des comptes Gmail, ils demandent en plus SPF, DKIM et DMARC (p=none suffit), l’alignement avec le domaine du « De : », la désinscription en un clic et un taux de plaintes pour spam inférieur à 0,3 %. Depuis mai 2025, Outlook exige la même chose des expéditeurs de gros volumes.

Si vous faites de la prospection depuis votre boîte mail, vous n’atteignez probablement pas 5 000 e-mails par jour. Mais les filtres ne se contentent pas d’appliquer les règles : ils évaluent aussi la confiance. Un domaine dont les trois enregistrements sont bien configurés part avec un avantage sur un domaine qui ne les a pas, même s’il envoie peu.

Comment vérifier que tout fonctionne

La méthode la plus simple ne demande aucun outil :

1. Envoyez-vous un e-mail depuis votre boîte mail vers un compte Gmail.
2. Ouvrez-le, cliquez sur les trois points et choisissez Afficher l’original.
3. En haut, vous verrez trois lignes : SPF: PASS, DKIM: PASS et DMARC: PASS. Si l’une d’elles indique FAIL ou n’apparaît pas, vous savez quoi vérifier.

Gardez en tête que les modifications DNS peuvent mettre de quelques minutes à quelques heures à se propager. Si vous venez de créer un enregistrement et que la vérification échoue, attendez un peu avant de toucher à quoi que ce soit d’autre.

La liste des dix minutes

• Un seul enregistrement SPF avec tous les services qui envoient en votre nom.
• DKIM généré chez votre fournisseur (Google Workspace ou Microsoft 365), publié dans le DNS et activé.
• Un enregistrement DMARC sur _dmarc avec p=none et une adresse rua pour les rapports.
• Un test avec « Afficher l’original » dans Gmail : trois PASS.
• Dans quelques semaines, examiner les rapports et passer à quarantine.

Avec cela, l’e-mail qui vous a demandé tant d’efforts a au moins une chance d’être lu.