SPF, DKIM et DMARC expliqués
SPF, DKIM et DMARC sont trois enregistrements DNS qui permettent aux serveurs de réception de vérifier qu’un message provient vraiment de votre domaine. Ensemble, ils compliquent l’envoi d’e-mails par des personnes qui se font passer pour vous, et ils aident vos vrais messages à arriver dans la boîte de réception plutôt que dans les spams.
Pourquoi ils sont importants
L’e-mail a été conçu sans moyen de prouver qui a envoyé un message. N’importe qui peut saisir n’importe quelle adresse dans le champ « De ». Ces trois enregistrements apportent cette preuve :
- SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine.
- DKIM ajoute une signature numérique à chaque message.
- DMARC indique aux destinataires quoi faire quand un message échoue à ces vérifications, et vous envoie des rapports.
Les grands fournisseurs de messagerie, dont Gmail et Yahoo, exigent SPF, DKIM et DMARC des expéditeurs de gros volumes d’e-mails depuis 2024, et ils utilisent ces vérifications pour filtrer tous les e-mails.
SPF
Un enregistrement SPF est un enregistrement TXT de votre domaine qui liste les serveurs et services autorisés à envoyer des e-mails pour ce domaine.
example.com. 3600 IN TXT "v=spf1 include:_spf.example.net ~all"
v=spf1indique qu’il s’agit d’un enregistrement SPF.include:_spf.example.netautorise les serveurs que le fournisseur d’e-mail publie sous ce nom. Chaque service d’envoi que vous utilisez vous donne sa propre valeurinclude:.~alldemande aux destinataires de traiter avec méfiance les e-mails venant de tout autre serveur.-allleur demande de les refuser.
Règles importantes :
- Ayez un seul enregistrement SPF par domaine. Deux enregistrements SPF font échouer SPF. Pour ajouter un expéditeur, ajoutez son
include:à l’enregistrement existant. - Une vérification SPF peut utiliser au maximum 10 requêtes DNS. Chaque
include:,a,mxetredirectcompte, y compris ceux imbriqués dans les includes. Retirez les services que vous n’utilisez plus.
DKIM
DKIM signe chaque message sortant avec une clé privée détenue par votre fournisseur d’e-mail. La clé publique correspondante est publiée dans votre DNS, pour que les destinataires puissent vérifier la signature et confirmer que le message n’a pas été modifié en route.
Votre fournisseur d’e-mail génère la clé et vous indique quoi publier. Elle se place sur un nom composé d’un sélecteur (choisi par le fournisseur), de _domainkey et de votre domaine :
selector1._domainkey.example.com. 3600 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh...IDAQAB"
La valeur p= est longue. Copiez-la exactement, sans ajouter d’espaces ni de retours à la ligne. Certains fournisseurs demandent un CNAME plutôt qu’un enregistrement TXT afin de pouvoir changer les clés pour vous ; utilisez le type qu’ils indiquent. Chaque service qui envoie des e-mails pour vous a son propre sélecteur, donc plusieurs enregistrements DKIM peuvent coexister.
DMARC
DMARC est un enregistrement TXT sur _dmarc placé devant votre domaine. Il indique aux destinataires quoi faire des messages qui échouent à l’authentification et où envoyer les rapports sur les e-mails de votre domaine.
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com"
p=est la politique :none(rapport uniquement),quarantine(traiter comme suspect, souvent dans le dossier spam) oureject(refuser le message).rua=est l’adresse qui reçoit les rapports de synthèse quotidiens. Utilisez une boîte e-mail que vous consultez, ou un service de rapports.
Pour que DMARC réussisse, un message doit réussir SPF ou DKIM et le domaine qui a réussi doit correspondre au domaine de l’adresse « De ». Cette correspondance s’appelle l’alignement ; c’est elle qui empêche quelqu’un d’utiliser le SPF de son propre domaine pour envoyer des e-mails qui prétendent venir du vôtre.
Les configurer dans un ordre sûr
- Listez tous les services qui envoient des e-mails avec votre domaine : votre fournisseur de boîtes e-mail, les formulaires de contact de votre site web, vos outils de newsletter, votre logiciel de facturation ou de service client.
- Publiez un seul enregistrement SPF qui les inclut tous.
- Activez DKIM pour chaque service, en publiant les enregistrements que chacun vous fournit.
- Publiez DMARC avec
p=noneet une adresse de rapport. - Lisez les rapports pendant quelques semaines. Corrigez tout service légitime qui échoue, généralement en l’ajoutant à SPF ou en activant son DKIM.
- Passez à
p=quarantine, puis àp=rejectune fois que les rapports ne montrent plus que des expéditeurs indésirables en échec.
Passer directement à p=reject peut bloquer vos propres e-mails légitimes, comme des factures envoyées par un service que vous avez oublié d’ajouter. Commencez par p=none et ne durcissez la politique que lorsque les rapports sont propres.
Vérifier vos enregistrements
Consultez ce qui est publié avec ces commandes, en remplaçant example.com et le sélecteur par les vôtres :
dig +short TXT example.com
dig +short TXT selector1._domainkey.example.com
dig +short TXT _dmarc.example.com
Vous pouvez aussi envoyer un message à une boîte e-mail chez un grand fournisseur et consulter les en-têtes d’origine du message : une ligne Authentication-Results y affiche spf=pass, dkim=pass et dmarc=pass quand tout fonctionne.
Pour ajouter ces enregistrements dans votre compte DomainPilot, suivez le guide SPF, DKIM et DMARC sur le site web de DomainPilot. Votre fournisseur d’e-mail fournit les valeurs SPF et DKIM. Pour les applications d’e-mail, consultez Configurer l’e-mail professionnel sur n’importe quel appareil.