SPF, DKIM et DMARC expliqués : qui peut envoyer des e-mails en votre nom

Un client reçoit un e-mail de l'adresse professionnelle de votre entreprise. Le logo est le bon, la signature aussi, et une facture est jointe. Seul le numéro de compte bancaire diffère. Le client paie, et vous l'apprenez deux semaines plus tard, quand il demande pourquoi vous lui envoyez une relance pour une somme qu'il a déjà réglée.

Mettre l'adresse de quelqu'un d'autre dans le champ « De » est techniquement trivial. Le courrier électronique a été conçu à une époque où personne n'imaginait qu'on se ferait passer pour un autre. Les garde-fous aux noms courts SPF, DKIM et DMARC ont été ajoutés plus tard, pour que les serveurs de messagerie puissent vérifier qu'un message vient bien de vous. Ils ne fonctionnent toutefois que si quelqu'un les configure sur votre domaine.

Les trois garde-fous en langage simple

Les trois sont des entrées du DNS de votre domaine, là même où l'on indique vers quel serveur pointe votre site. Rien ne s'installe sur l'ordinateur de qui que ce soit.

SPF est une liste d'invités. Elle dit : les e-mails de mon domaine peuvent être envoyés par ces serveurs et aucun autre. La liste doit inclure votre messagerie professionnelle, votre logiciel de facturation, votre outil de lettre d'information et tout ce qui envoie du courrier avec votre adresse. Une entrée ressemble à ceci : v=spf1 include:_spf.google.com ~all.

DKIM est un sceau. Votre serveur de messagerie signe chaque message sortant, et la clé qui permet de vérifier cette signature se trouve dans le DNS. Le destinataire peut ainsi confirmer que le message vient de vous et que personne ne l'a modifié en route.

DMARC est une consigne donnée au destinataire. Elle dit quoi faire d'un message qui se prétend de vous mais échoue aux vérifications. Elle contrôle aussi ce que SPF seul ne contrôle pas : si le domaine validé par SPF ou DKIM correspond à l'adresse que le client voit réellement dans le champ « De ». Sans cela, un fraudeur peut réussir SPF avec son propre domaine tout en affichant le vôtre à l'écran. DMARC peut aussi demander aux serveurs destinataires de vous envoyer des rapports, ce qui vous apprend qui envoie des e-mails en votre nom. L'entrée se trouve à _dmarc.votredomaine.fr.

Il y a une seconde raison de s'en occuper. Depuis 2024 pour Gmail et Yahoo, et depuis 2025 pour Microsoft sur les boîtes Outlook.com, les expéditeurs en masse doivent avoir un SPF et un DKIM fonctionnels et au moins un enregistrement DMARC de base. Des enregistrements manquants pénalisent donc aussi vos e-mails légitimes.

Comment vérifier que votre domaine les a

Il existe deux moyens simples, et aucun ne demande d'accéder aux réglages de votre domaine.

Le premier est un outil gratuit de consultation du DNS, comme notre contrôle SPF, DKIM et DMARC (en anglais). Saisissez votre domaine, sans www et sans https://. Pour DMARC, vous verrez l'un de ces trois cas :

• aucun enregistrement, donc aucune protection,
• un enregistrement avec p=none, qui observe mais ne bloque rien,
• un enregistrement avec p=quarantine ou p=reject, où les messages falsifiés vont dans les spams ou sont refusés.

Pour SPF, le point principal est de vérifier qu'il n'y a qu'un seul enregistrement. Deux enregistrements SPF distincts sur le même domaine sont une erreur qui peut conduire les serveurs destinataires à considérer votre SPF comme invalide.

Le second moyen passe par Gmail. Envoyez un e-mail de votre adresse professionnelle vers n'importe quel compte Gmail, ouvrez-le, cliquez sur les trois points à côté du bouton de réponse et choisissez Afficher l'original. En haut, vous verrez des lignes séparées pour SPF, DKIM et DMARC, chacune indiquant PASS ou FAIL. Trois PASS, c'est bon signe. Refaites le test avec une facture issue de votre logiciel de comptabilité et un message du formulaire de contact de votre site, car chacun part par un chemin différent.

De p=none à quarantine sans perdre vos propres e-mails

L'erreur la plus fréquente consiste à passer directement à p=reject. On découvre alors que les factures du logiciel de comptabilité, les notifications de la boutique ou la lettre d'information n'avaient jamais de SPF ou de DKIM corrects. Dès cet instant, elles finissent dans les spams ou n'arrivent pas du tout, et il faut longtemps pour comprendre pourquoi.

Un ordre plus sûr :

1. Réglez DMARC sur p=none avec une adresse pour les rapports, par exemple v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr.
2. Collectez les rapports pendant quelques semaines. Ils arrivent sous forme de fichiers XML, le plus simple est donc de les confier à l'un des lecteurs gratuits de rapports DMARC, qui les transforme en tableau lisible.
3. Dressez la liste de chaque service qui, d'après les rapports, envoie des e-mails sous votre domaine. Pour chacun qui est réellement le vôtre, configurez correctement SPF et DKIM.
4. Quand les rapports ne montrent plus que des sources que vous ne reconnaissez pas, passez à p=quarantine. Les messages falsifiés commenceront à aller dans les spams.
5. Après quelques semaines calmes de plus, vous pouvez passer à p=reject, où les serveurs destinataires refusent carrément les contrefaçons.

Si vous possédez des domaines qui n'envoient jamais d'e-mails, comme un ancien nom d'entreprise ou un domaine acheté au cas où, donnez-leur tout de suite v=spf1 -all et un enregistrement DMARC avec p=reject. Vous ne perdez rien, et un fraudeur ne pourra pas les utiliser à la place de votre domaine principal.

Ce que ces enregistrements ne feront pas

DMARC protège votre domaine exact. Il n'arrêtera pas quelqu'un qui enregistre un domaine ressemblant, comme votre-domaine.fr ou votredomaine.co, et configure ses propres enregistrements parfaitement valides. Il n'aidera pas non plus si quelqu'un prend le contrôle d'une vraie boîte d'un collaborateur, car les faux e-mails partent alors de votre propre serveur et passent toutes les vérifications.

À côté des enregistrements DNS, deux mesures simples aident donc. D'abord, la connexion en deux étapes sur chaque boîte de messagerie de l'entreprise. Ensuite, une règle que vos clients connaissent : les coordonnées bancaires ne changent jamais par e-mail, et tout avis de nouveau compte est confirmé par un autre canal. Vous pouvez l'écrire clairement sur vos factures ou dans votre signature.

Ce qu'il faut demander à la personne qui gère votre domaine

Votre domaine est généralement géré par votre hébergeur, par l'entreprise chez qui vous l'avez acheté ou par votre développeur. Envoyez-lui ces questions :

1. Quels services envoient des e-mails depuis notre domaine, et sont-ils tous dans l'enregistrement SPF ?
2. Avons-nous exactement un enregistrement SPF, et reste-t-il dans la limite de dix consultations DNS ?
3. DKIM est-il activé pour notre messagerie professionnelle, notre logiciel de facturation et notre outil de lettre d'information ? Dans Microsoft 365 et Google Workspace, il faut généralement l'activer à la main.
4. Avons-nous DMARC, à quel niveau, et qui lit les rapports ?
5. Quand pourrons-nous passer sans risque à p=quarantine ?

Une bonne réponse n'a pas besoin d'être longue. L'important est qu'elle nomme une personne qui consulte les rapports de temps en temps, et une date pour passer au niveau de protection suivant.