SPF, DKIM et DMARC expliqués simplement

Trois enregistrements DNS décident du sort de vos emails. Ils sont souvent présentés comme un sujet d'expert : ils tiennent en trois idées simples.

SPF : qui a le droit d'envoyer

SPF est une liste publiée dans votre DNS qui dit quels serveurs sont autorisés à envoyer du courrier au nom de votre domaine. Quand un message arrive, le serveur du destinataire lit cette liste et vérifie que l'expéditeur y figure.

Une erreur fréquente : oublier un service. Si votre facturation, votre outil de support et votre prospection partent de trois fournisseurs différents, les trois doivent y être. Un service oublié voit ses emails échouer sans explication visible.

DKIM : la signature

DKIM ajoute une signature cryptographique à chaque message. Le destinataire récupère la clé publique dans votre DNS et vérifie que le message n'a pas été modifié en route et qu'il vient bien de vous. C'est ce qui rend l'usurpation difficile.

La clé se publie en général sous la forme de trois enregistrements fournis par votre hébergeur email. On les copie tels quels ; il n'y a rien à inventer.

DMARC : que faire en cas d'échec

DMARC est la consigne. Il dit au serveur destinataire quoi faire d'un message qui échoue SPF et DKIM : ne rien faire (p=none), le mettre en quarantaine (p=quarantine) ou le rejeter (p=reject).

p=none sert à observer quand on ne maîtrise pas encore tous ses expéditeurs. Sur un domaine neuf dédié à la prospection, où l'on maîtrise tout, il n'y a rien à observer : on peut démarrer directement en p=reject, et le domaine construit sa réputation avec l'alignement le plus strict dès le premier jour.

Ce que Google et Yahoo exigent

Depuis février 2024, les deux opérateurs imposent aux expéditeurs de volume une authentification complète, un lien de désinscription en un clic, et un taux de plainte maintenu sous 0,10 %, sans jamais dépasser 0,30 %. Ces seuils sont publiés par Google dans ses règles pour les expéditeurs : ce ne sont pas des estimations.

Vérifiez au DNS, pas sur un tableau de bord

Le conseil le plus utile de cette page. Les interfaces d'hébergeurs affichent parfois un état de configuration qui ne correspond pas à la réalité. Une requête DNS directe sur votre domaine, avec dig ou n'importe quel vérificateur public, donne ce que voient réellement les serveurs destinataires. C'est la seule réponse qui compte.