Ce guide explique spf dkim dmarc : les trois principaux protocoles d'authentification des e-mails, qui déterminent si vos e-mails arrivent à destination. Si vous rencontrez des problèmes de distribution des e-mails, la configuration de spf dkim dmarc est la première étape vers une solution.

Vous envoyez un devis important, mais votre client ne le reçoit pas. Ou pire : votre e-mail atterrit dans le dossier des spams. Frustrant, mais souvent évitable. Avec SPF, DKIM et DMARC, vous prouvez que vous êtes bien celui que vous prétendez être.

Pourquoi l'authentification des e-mails est-elle importante ?

SPF, DKIM et DMARC sont des protocoles qui résolvent ce problème. Ils prouvent aux serveurs de messagerie destinataires que votre e-mail est légitime.

SPF : qui peut envoyer des e-mails au nom de votre domaine ?

Comment cela fonctionne-t-il ?

1. Vous publiez un enregistrement SPF dans votre DNS
2. Il indique quels serveurs peuvent envoyer des e-mails pour votre domaine
3. Le serveur de réception vérifie que l'e-mail provient d'un serveur autorisé
4. Si ce n'est pas le cas, l'e-mail est refusé ou marqué comme spam

Exemple d'enregistrement SPF

v=spf1 include:filter.theory7.net include:spf.protection.outlook.com -all

Cela signifie que seuls les serveurs de Theory7 et de Microsoft 365 peuvent envoyer des e-mails au nom de ce domaine. Tous les autres sont refusés (-all).

DKIM : la signature numérique

Comment cela fonctionne-t-il ?

1. Votre serveur de messagerie signe chaque e-mail avec une clé privée
2. La clé publique figure dans votre DNS
3. Le serveur de réception vérifie la signature avec la clé publique
4. Si elle correspond, l'e-mail est authentique et inchangé

DKIM protège aussi contre la manipulation : si quelqu'un modifie le contenu, la signature ne correspond plus.

DMARC : que faire en cas d'échec des vérifications ?

Options de politique DMARC

• none : ne rien faire, seulement rapporter (pour les tests)
• quarantine : placer dans les spams
• reject : refuser complètement l'e-mail

Exemple d'enregistrement DMARC

v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com

Cela signifie que les e-mails en échec sont placés dans les spams et que les rapports sont envoyés à dmarc@example.com.

Comment le configurer ?

Étape 1 : ajouter un enregistrement SPF

Ajoutez un enregistrement TXT à votre DNS avec votre configuration SPF. Demandez à votre hébergeur et à votre fournisseur de messagerie quels serveurs vous devez inclure.

Étape 2 : activer DKIM

DKIM est généralement configuré par votre fournisseur de messagerie. Vous recevez un enregistrement TXT à ajouter à votre DNS.

Étape 3 : ajouter un enregistrement DMARC

Commencez par p=none pour surveiller. Examinez les rapports, puis passez à quarantine ou reject.

Tester vos paramètres

• mail-tester.com : envoyez un e-mail de test et obtenez un score
• mxtoolbox.com : vérifiez vos enregistrements DNS
• dmarcanalyzer.com : analysez les rapports DMARC

Questions fréquentes

Dois-je configurer les trois ?

Idéalement, oui. SPF et DKIM sont la base, DMARC complète le dispositif. Sans DMARC, les destinataires ne savent pas quoi faire en cas de problème.

Puis-je utiliser plusieurs fournisseurs de messagerie ?

Oui, ajoutez tous les fournisseurs à votre enregistrement SPF. Attention : SPF autorise au maximum 10 recherches DNS.

Mes e-mails finissent encore dans les spams, que faire ?

Vérifiez aussi le contenu de vos e-mails. Trop de liens, des mots suspects ou un mauvais HTML peuvent aussi déclencher les filtres antispam.

Besoin d'aide ?

SPF en détail

Comment fonctionne SPF

Lorsque vous envoyez un e-mail, le serveur de réception vérifie : « Le serveur d'envoi figure-t-il dans l'enregistrement SPF de ce domaine ? » Si oui, l'e-mail est probablement légitime. Sinon, il s'agit peut-être de spam ou d'hameçonnage.

Configurer SPF

Un enregistrement SPF de base ressemble à ceci :

v=spf1 include:_spf.google.com ~all

Cela signifie que seul Google peut envoyer des e-mails au nom de ce domaine. ~all signifie que les autres serveurs reçoivent un « softfail » (avertissement, mais pas de blocage).

DKIM en détail

Comment fonctionne DKIM

1. Votre serveur de messagerie signe chaque e-mail avec une clé privée
2. La clé publique est un enregistrement TXT dans votre DNS
3. Le destinataire vérifie la signature avec cette clé publique

Configurer DKIM

Votre hébergeur ou votre service de messagerie génère la clé DKIM. Vous ajoutez l'enregistrement TXT à votre DNS. Les étapes exactes varient selon le fournisseur : suivez leur documentation.

DMARC en détail

Options de politique DMARC

• none : surveiller uniquement, aucune action
• quarantine : envoyer dans les spams
• reject : refuser complètement l'e-mail

Configurer DMARC

Commencez par une politique de simple surveillance :

v=DMARC1; p=none; rua=mailto:dmarc@example.com

Vous recevez des rapports indiquant qui envoie des e-mails au nom de votre domaine. Si tout semble correct, passez à quarantine, puis à reject.

Mise en œuvre étape par étape

1. Inventoriez : quels services envoient des e-mails au nom de votre domaine ?
2. Configurez SPF : ajoutez toutes les sources légitimes
3. Activez DKIM : chez votre fournisseur de messagerie et vos autres services
4. Démarrez DMARC : commencez par p=none pour surveiller
5. Analysez : examinez les rapports et corrigez les problèmes
6. Durcissez : passez à quarantine, puis à reject

Tests

• mail-tester.com : envoyez un e-mail de test et obtenez un rapport
• MXToolbox : vérifiez vos enregistrements DNS
• Google Postmaster Tools : voyez comment Gmail perçoit votre domaine

SPF, DKIM et DMARC selon les situations

Configuration simple (uniquement votre propre serveur de messagerie)

Si vous n'envoyez des e-mails que depuis votre serveur d'hébergement, la configuration est relativement simple. Votre hébergeur a souvent déjà configuré SPF et DKIM par défaut.

Configuration plus complexe (plusieurs services)

Vous utilisez, en plus de votre propre serveur de messagerie, des services comme Mailchimp, SendGrid ou un CRM ? Dans ce cas, chaque service doit figurer dans votre enregistrement SPF et avoir ses propres clés DKIM.

Un enregistrement SPF avec plusieurs sources :

v=spf1 include:_spf.example.net include:servers.mcsv.net include:sendgrid.net ~all

Google Workspace ou Microsoft 365

Pour la messagerie professionnelle via Google ou Microsoft, suivez leurs instructions spécifiques pour SPF et DKIM. Ils fournissent les enregistrements DNS exacts à ajouter.

Erreurs fréquentes

• Plusieurs enregistrements SPF (il ne peut y en avoir qu'un seul)
• Une politique DMARC trop stricte sans surveillance préalable
• Oublier d'ajouter un nouveau service de messagerie
• Ne pas supprimer les anciens enregistrements après un changement de fournisseur

Une bonne authentification des e-mails garantit que vos messages arrivent là où ils doivent arriver. Prenez le temps de bien la configurer et testez régulièrement.

La vérification des e-mails via SPF, DKIM et DMARC est aujourd'hui indispensable. Les grands fournisseurs de messagerie comme Gmail et Outlook sont de plus en plus stricts. Sans les bons enregistrements d'authentification, vos e-mails finissent dans le dossier des spams ou sont purement et simplement refusés.

Cette configuration technique, à faire une seule fois, en vaut la peine. Demandez de l'aide à votre hébergeur si vous êtes bloqué : il peut souvent créer les bons enregistrements pour vous. Une fois la configuration faite, vous n'avez plus à vous en occuper. Vos e-mails sont distribués de façon fiable et vous protégez votre nom de domaine contre les abus des spammeurs.

La vérification des e-mails évite que vos messages finissent dans les spams. Configurez correctement SPF, DKIM et DMARC et vos e-mails atteignent leur destination de façon fiable. Cela demande un peu de réflexion, mais cela en vaut largement la peine.

L'authentification des e-mails est complexe mais essentielle en 2024. Prenez le temps de bien la comprendre et de la mettre en œuvre correctement pour une distribution fiable des e-mails.

Une bonne authentification des e-mails est la clé d'une communication fiable avec vos clients.

Comment SPF, DKIM et DMARC fonctionnent ensemble

Protocole	Question à laquelle il répond	Ce qu'il vérifie
SPF	Le serveur d'envoi est-il autorisé ?	Adresse IP de l'expéditeur
DKIM	Le message est-il inchangé et authentique ?	Signature numérique dans l'en-tête
DMARC	Que faire en cas de non-concordance ?	Alignement de SPF et DKIM avec l'adresse From

Le processus de vérification étape par étape

1. Un e-mail est envoyé depuis votre domaine
2. Le serveur de réception vérifie l'enregistrement SPF : l'adresse IP du serveur d'envoi figure-t-elle dans la liste ?
3. Le serveur de réception vérifie la signature DKIM : la signature correspond-elle à la clé publique dans le DNS ?
4. Le serveur de réception vérifie l'alignement DMARC : SPF et/ou DKIM correspondent-ils à l'adresse From ?
5. Selon la politique DMARC, l'e-mail est accepté, placé en quarantaine ou refusé
6. Un rapport est envoyé à l'adresse indiquée dans l'enregistrement DMARC

SPF, DKIM et DMARC : une mise en œuvre dans le bon ordre

Phase 1 : inventaire (semaine 1)

Dressez la liste de tous les services qui envoient des e-mails au nom de votre domaine. Pensez à votre serveur de messagerie, à votre CRM, à votre plateforme d'e-mailing, à votre logiciel de facturation et aux éventuels formulaires web.

Phase 2 : configurer SPF et DKIM (semaines 1-2)

Configurez SPF avec toutes les sources identifiées. Activez DKIM pour chaque service qui le prend en charge. Testez avec mail-tester.com ou mxtoolbox.com pour vérifier que la configuration est correcte.

Phase 3 : surveillance DMARC (semaines 2-6)

Configurez DMARC avec la politique p=none. Vous recevez alors des rapports sur tous les e-mails envoyés au nom de votre domaine. Analysez les rapports pour identifier les sources manquantes.

Phase 4 : durcissement (semaine 6+)

Si les rapports sont satisfaisants et que toutes les sources légitimes sont correctement configurées, durcissez la politique vers p=quarantine. Après une période stable, vous pouvez passer à p=reject pour une protection maximale.

Envie d'en savoir plus sur l'e-mail ? Lisez notre article sur la migration de vos e-mails vers un nouvel hébergement ou consultez les solutions d'adresse e-mail professionnelle de Theory7.

Chez Theory7, nous vous aidons à configurer correctement SPF, DKIM et DMARC. Contactez-nous si vos e-mails finissent dans les spams.

SPF DKIM DMARC : résumé et bonnes pratiques

• Commencez toujours par SPF, puis ajoutez DKIM avant d'activer DMARC
• Testez votre configuration spf dkim dmarc avec des outils en ligne avant de définir une politique stricte
• Utilisez une adresse e-mail professionnelle avec votre propre domaine
• Configurez d'abord DMARC avec p=none pour recevoir des rapports sans bloquer d'e-mails
• Vérifiez régulièrement que les enregistrements DNS de votre nom de domaine sont corrects

Avec une bonne configuration spf dkim dmarc, vous évitez que vos e-mails finissent dans les spams. Enregistrez votre domaine via notre outil de vérification de nom de domaine et configurez immédiatement spf dkim dmarc pour une distribution optimale des e-mails.

Configurer correctement spf dkim dmarc n'est plus un luxe aujourd'hui, mais une nécessité. Sans spf dkim dmarc, vos e-mails sont plus souvent marqués comme spam, voire refusés purement et simplement. Veillez à ce que vos enregistrements spf dkim dmarc soient toujours à jour et vérifiez-les après chaque modification de votre configuration DNS. Avec un spf dkim dmarc bien configuré, vous ne protégez pas seulement votre propre domaine, vous contribuez aussi à un écosystème e-mail plus sûr.

SPF DKIM DMARC : mise en pratique étape par étape

Un enregistrement SPF est un enregistrement TXT dans vos paramètres DNS. Il commence toujours par v=spf1 et se termine par -all (hard fail) ou ~all (soft fail). Entre ces deux éléments, vous indiquez les serveurs autorisés via des adresses IP ou des instructions include. Attention à la limite de 10 recherches DNS maximum par enregistrement SPF. Utilisez des outils comme MXToolbox pour tester votre enregistrement SPF et vérifier le nombre de recherches.

La configuration DKIM est techniquement plus complexe, mais tout aussi importante. Vous devez générer une paire de clés cryptographiques : une clé privée sur votre serveur de messagerie et une clé publique sous forme d'enregistrement TXT dans votre DNS. La plupart des fournisseurs d'hébergement e-mail proposent la configuration DKIM via leur panneau de contrôle.

Définir et surveiller la politique DMARC

Analysez les rapports DMARC pendant au moins deux à quatre semaines. Repérez les sources légitimes qui échouent sur SPF ou DKIM et ajoutez-les à votre configuration. Ce n'est qu'une fois toutes les sources légitimes correctement authentifiées que vous durcissez progressivement la politique DMARC vers quarantine, puis finalement reject. Ce processus par étapes évite de bloquer par erreur des e-mails légitimes.

Les rapports DMARC sont des fichiers XML difficiles à lire à la main. Utilisez un service gratuit comme DMARC Analyzer ou Postmark pour les afficher visuellement. Combinez cela avec une configuration DNS bien réalisée pour une distribution optimale des e-mails.

SPF DKIM DMARC : questions fréquentes

Combien de temps faut-il pour que les modifications soient effectives ? Les modifications DNS se propagent généralement en 24 à 48 heures. Réduisez le TTL à 300 secondes avant d'effectuer vos modifications pour une propagation plus rapide.

Et si mes e-mails finissent quand même dans les spams ? Vérifiez si vos e-mails arrivent bien et si tous les enregistrements sont corrects. Utilisez les en-têtes des e-mails pour vérifier que toutes les vérifications d'authentification réussissent. Si la configuration technique est correcte, le problème peut venir du contenu de vos messages ou de la réputation de votre adresse IP d'envoi. Construisez progressivement votre réputation en envoyant régulièrement de bons e-mails.

Tester l'authentification des e-mails avec des outils en ligne

Après avoir configuré spf dkim dmarc, il est crucial de tester la configuration avec des outils en ligne. Envoyez un e-mail de test à check-auth@verifier.port25.com pour recevoir automatiquement un rapport sur votre statut SPF, DKIM et DMARC. Google propose aussi un outil pratique via les en-têtes Gmail : ouvrez un e-mail de test reçu dans Gmail, cliquez sur les trois points et choisissez Afficher l'original. Vous y voyez si SPF et DKIM réussissent ou échouent.

Utilisez par ailleurs dmarcian.com pour une surveillance DMARC gratuite. Cet outil visualise vos rapports DMARC et identifie les problèmes. MXToolbox propose une suite complète pour tester les enregistrements DNS, vérifier les listes noires et diagnostiquer SMTP. Effectuez ces tests mensuellement pour que votre configuration continue de fonctionner correctement, surtout après des modifications de votre infrastructure e-mail ou l'ajout de nouveaux services d'envoi.

N'oubliez pas non plus de bien configurer votre e-mail sur votre propre nom de domaine pour une image professionnelle et une délivrabilité optimale.

Enfin, il est important de documenter votre configuration d'authentification e-mail. Dressez un aperçu de tous les enregistrements DNS avec leurs valeurs actuelles, la date de la dernière modification et la raison de la configuration. Conservez ce document dans un lieu sûr et centralisé. Lorsque vous ajouterez à l'avenir de nouveaux services e-mail ou changerez de fournisseur, vous aurez immédiatement une référence pour mettre la configuration à jour correctement. Une configuration SPF/DKIM/DMARC bien documentée vous fait gagner des heures de dépannage et évite les problèmes de distribution des e-mails.

N'oubliez pas non plus que l'authentification des e-mails est un processus continu, pas une configuration ponctuelle. Chaque fois que vous ajoutez un nouveau service e-mail, activez un outil marketing ou changez de serveur de messagerie, vous devez mettre à jour vos enregistrements SPF, DKIM et DMARC. Prévoyez une revue trimestrielle pour contrôler votre authentification e-mail et vous assurer que les trois protocoles restent correctement configurés.