Guide · les bases

SPF, DKIM et DMARC expliqués simplement

Trois réglages techniques empêchent qu'on envoie de faux emails en votre nom, et aident vos vrais emails à arriver en boîte de réception. Voici ce qu'ils font, sans jargon.

Le problème : n'importe qui peut écrire « de votre part »

Dans le protocole des emails, l'adresse de l'expéditeur n'est pas vérifiée par défaut. Un escroc peut envoyer un message qui affiche direction@votre-entreprise.fr à vos clients ou à votre comptable, par exemple pour demander un virement. SPF, DKIM et DMARC servent à permettre au destinataire de vérifier que le message vient bien de vous.

SPF : la liste des expéditeurs autorisés

Le SPF est une liste publiée dans le DNS de votre domaine : « seuls ces services ont le droit d'envoyer des emails avec mon nom de domaine ». Le serveur qui reçoit un message compare l'expéditeur réel à cette liste.

La fin de la ligne compte : -all signifie « refuser tout le reste », ~all « considérer comme suspect », +all « tout le monde est autorisé » (à ne jamais utiliser).

DKIM : la signature du message

Votre messagerie signe chaque email avec une clé secrète. La clé publique correspondante est publiée dans votre DNS, ce qui permet au destinataire de vérifier deux choses : le message vient bien de votre messagerie, et il n'a pas été modifié en route. Les clés trop courtes sont plus faciles à attaquer : une clé RSA de 2048 bits est aujourd'hui le standard à viser.

DMARC : la consigne en cas d'échec, et les rapports

SPF et DKIM vérifient, mais ne disent pas quoi faire d'un message qui échoue. DMARC le précise : p=none (ne rien faire, seulement surveiller), p=quarantine (mettre en spam), p=reject (refuser). Il permet aussi de recevoir des rapports sur qui envoie des emails avec votre domaine.

Par où commencer

1. SPF avec ~all, en listant votre messagerie et vos autres services d'envoi (newsletter, facturation).
2. DKIM, activé depuis l'administration de votre messagerie.
3. DMARC en p=none avec une adresse de rapports, pendant quelques semaines.
4. Quand les rapports ne montrent que vos expéditeurs légitimes : p=quarantine, puis p=reject, et -all dans le SPF.

Passer directement à reject sans surveillance est le piège classique : un service d'envoi oublié verrait ses emails bloqués.

Les erreurs fréquentes

• Deux enregistrements SPF : les deux deviennent invalides. Il n'en faut qu'un.
• Plus de 10 résolutions DNS dans le SPF (trop d'include imbriqués) : certains serveurs le rejettent.
• DMARC publié mais jamais lu : sans rapports, il ne sert à rien d'attendre pour durcir.
• Nouveau service d'envoi ajouté sans l'ajouter au SPF : ses emails partent en spam.

Vérifier votre domaine

Le vérificateur email lit ces trois réglages, vous donne une note et la liste des corrections, avec les valeurs à copier. Pour appliquer les corrections : guide OVHcloud ou guide Cloudflare.