SPF, DKIM et DMARC : le guide complet pour protéger votre domaine

Pourquoi SPF, DKIM et DMARC sont essentiels

Par défaut, le protocole email (SMTP) ne vérifie pas l'identité de l'expéditeur. N'importe qui peut envoyer un email en prétendant venir de contact@votre-domaine.fr. C'est ce qu'on appelle le spoofing ou usurpation d'identité.

Les conséquences sont directes : vos clients reçoivent des emails frauduleux soi-disant envoyés par vous, votre réputation d'expéditeur se dégrade, et Gmail ou Outlook commencent à passer vos vrais emails en spam.

SPF, DKIM et DMARC forment un système à trois niveaux qui résout ce problème :

1. Configurer SPF

SPF (Sender Policy Framework) s'ajoute comme un enregistrement TXT à la racine de votre domaine. Il liste les adresses IP ou services autorisés à envoyer des emails en votre nom.

Structure d'un enregistrement SPF

v=spf1 include:_spf.google.com include:sendgrid.net ~all
│         │                         │                    │
│         └─ Gmail autorisé        └─ SendGrid autorisé  └─ Échec doux (~) ou rejet (-)
└─ Version SPF (toujours v=spf1)

La directive finale est cruciale :

• ~all — softfail : les emails non autorisés arrivent quand même mais sont marqués (recommandé pour commencer)
• -all — fail : les emails non autorisés sont rejetés (recommandé une fois stabilisé)
• ?all — neutral : ne fait rien, à éviter

Exemples selon votre fournisseur d'email

2. Configurer DKIM

DKIM (DomainKeys Identified Mail) fonctionne avec une paire de clés cryptographiques. Votre serveur d'envoi signe chaque email avec une clé privée. Le destinataire vérifie la signature avec la clé publique publiée dans vos DNS.

Où trouver votre clé DKIM

La clé DKIM est générée par votre service d'envoi, pas par vous. Dans votre interface :

• Google Workspace : Admin Console → Apps → Google Workspace → Gmail → Authentifier les e-mails
• Microsoft 365 : Defender → Email & Collaboration → Policies → DKIM
• Brevo / Mailchimp : Paramètres → Expéditeurs → DKIM

Votre service vous donnera un enregistrement DNS à ajouter, qui ressemble à ceci :

Nom du champ DNS :
google._domainkey.votre-domaine.fr

Valeur (enregistrement TXT) :
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...

Le préfixe (google, s1, mail…) est appelé le sélecteur DKIM. Vous pouvez en avoir plusieurs, un par service d'envoi, sur le même domaine.

3. Configurer DMARC

DMARC est le chef d'orchestre. Il indique aux serveurs destinataires quoi faire quand un email échoue la vérification SPF ou DKIM. Il vous envoie aussi des rapports quotidiens sur qui envoie des emails depuis votre domaine.

Structure d'un enregistrement DMARC

L'enregistrement DMARC s'ajoute sur _dmarc.votre-domaine.fr en tant que TXT :

v=DMARC1; p=quarantine; rua=mailto:dmarc@votre-domaine.fr; pct=100; adkim=s; aspf=s
          │               │                              │          │         │
          └─ Politique    └─ Rapports agrégés           └─ 100%    └─ DKIM  └─ SPF
             (none/        (adresse de réception)         des        strict   strict
              quarantine/                                  emails
              reject)

Les trois politiques DMARC

Lire les rapports DMARC

Les rapports DMARC arrivent en XML brut — illisibles directement. Utilisez des services gratuits comme DMARC Analyzer, MXToolbox ou Postmark DMARC pour les visualiser et identifier quels services envoient pour votre domaine.

4. Dans quel ordre les déployer

L'ordre est important pour éviter de bloquer vos emails légitimes :

1. Commencez par SPF — listez tous vos services d'envoi, terminez par ~all
2. Activez DKIM — généralement en cliquant "Activer" dans votre service d'email, puis en ajoutant le TXT DNS fourni
3. Ajoutez DMARC avec p=none — récoltez les rapports pendant 2 à 4 semaines pour identifier les sources légitimes
4. Passez à p=quarantine une fois tous les services légitimes identifiés et configurés
5. Finissez sur p=reject pour une protection maximale

5. Vérifier votre configuration

Une fois les enregistrements DNS ajoutés, attendez 15 à 30 minutes (propagation DNS) puis vérifiez :

• En ligne : MXToolbox SPF Checker, DMARC Analyzer, mail-tester.com
• En ligne de commande — vérifier SPF :

# Vérifier SPF
dig TXT votre-domaine.fr | grep spf

# Vérifier DMARC
dig TXT _dmarc.votre-domaine.fr

# Vérifier DKIM (remplacer "google" par votre sélecteur)
dig TXT google._domainkey.votre-domaine.fr

6. Erreurs courantes à éviter

• Plusieurs enregistrements SPF — vous ne pouvez avoir qu'un seul enregistrement SPF par domaine. Si vous en avez deux, les serveurs ne sauront lequel prendre et les deux seront ignorés.
• Oublier un service d'envoi — chaque outil qui envoie en votre nom (CRM, helpdesk, newsletter…) doit être inclus dans SPF et avoir son DKIM configuré.
• Passer trop vite à p=reject — sans avoir analysé les rapports DMARC, vous risquez de bloquer des emails légitimes.
• Ne pas surveiller les rapports — les rapports DMARC sont votre tableau de bord. Sans eux, vous ignorez si quelqu'un usurpe votre domaine en ce moment.
• Appliquer DMARC sur des sous-domaines oubliés — sp=reject dans votre enregistrement DMARC applique la politique aux sous-domaines. Utile si vous en avez que vous n'utilisez pas pour l'email.