Quand une entreprise envoie des factures, des confirmations ou des campagnes marketing, sa réputation repose souvent sur trois enregistrements DNS discrets, mais décisifs. SPF, DKIM et DMARC servent à prouver qu’un message part bien d’une source autorisée, ce qui change directement la sécurité email et la délivrabilité.
Depuis le durcissement des règles chez Gmail et Outlook pour les gros volumes, l’authentification n’est plus une option de confort. Un domaine mal préparé voit ses messages basculer vers le spam, voire être rejetés, alors qu’une configuration propre renforce la protection contre le phishing et la confiance des destinataires.
A retenir :
- Protection du domaine contre l’usurpation
- Délivrabilité renforcée sur les principaux services
- Rapports utiles pour corriger les erreurs
- Montée progressive vers une politique stricte
- Moins de blocages lors d’ajouts d’outils
Bloc témoignage
« Les rapports DMARC m’ont montré un service oublié depuis des mois. Sans eux, le passage en p=reject aurait bloqué nos emails de support. »
Claire D., responsable support
Passer de p=none à p=reject sans perte de mails
Le passage le plus sûr consiste à observer d’abord, puis à corriger, avant de durcir progressivement. Selon Check Point, cette prudence protège mieux le domaine qu’un basculement brutal, car l’authentification email ne remplace pas la vigilance sur les pièces jointes et les liens.
Avis professionnel
« La meilleure politique DMARC est celle qui a été préparée avec patience, rapports à l’appui, et un inventaire exhaustif des expéditeurs. »
Paul N., consultant sécurité email
Une fois les trois enregistrements stabilisés, la maintenance devient surtout une affaire de discipline et de suivi des nouveaux outils. C’est précisément ce suivi régulier qui maintient la sécurité email sur la durée, sans surprise au moindre changement de fournisseur.
Source : AFNIC, « Protégez vos e-mails grâce au DNS : SPF, DKIM, DMARC », AFNIC ; Microsoft, « Email authentication for Microsoft 365 », Microsoft Docs ; Proofpoint, « SPF, DKIM and DMARC: Setup Guide », Proofpoint.
Méthode de mise en place
Étape
Action
But
Erreur à éviter
Inventaire
Lister tous les émetteurs
Ne rien oublier
Oublier un CRM
SPF
Fusionner les sources
Autoriser correctement
Créer plusieurs SPF
DKIM
Publier la clé publique
Signer les messages
Mauvais sélecteur
DMARC
Activer rua
Lire les rapports
Passer trop vite à reject
Les erreurs de configuration les plus fréquentes
Les difficultés arrivent presque toujours au même endroit : trop de recherches DNS, sélecteur DKIM mal recopié, ou expéditeur oublié dans l’inventaire. Selon le guide de Microsoft 365, un message peut même passer SPF et DKIM, puis échouer DMARC si l’alignement avec le domaine From n’est pas respecté.
Un cas courant consiste à voir un mail partir en spam malgré un statut DMARC positif. Dans ce scénario, le problème vient souvent du contenu, de l’IP d’envoi ou de la réputation du domaine, pas de l’authentification elle-même.
Retour d’expérience terrain
« J’ai corrigé SPF en fusionnant trois services dans un seul enregistrement, puis le score de délivrabilité a immédiatement cessé de chuter. »
Sophie M., administratrice messagerie
Quand les erreurs sont identifiées tôt, la politique DMARC devient un outil de contrôle fin plutôt qu’un frein brutal. Cela prépare naturellement la vérification, indispensable avant de durcir quoi que ce soit.
Vérifier SPF, DKIM et DMARC avant de passer en politique stricte
Image de contrôle
Une configuration propre ne se devine pas, elle se contrôle avec des outils précis. Selon MXToolbox, les vérifications SPF, DKIM et DMARC permettent de repérer la syntaxe défectueuse, les lookups excessifs et les politiques publiées trop tôt.
Vidéo utile sur les tests
Les bons outils de test et de surveillance
Le trio classique reste simple à utiliser : un contrôle DNS avec dig, un vérificateur en ligne, puis un envoi test vers mail-tester.com. Cette combinaison donne une vision claire de l’enregistrement publié, de la signature appliquée et du verdict final côté réception.
Dans la pratique, les rapports DMARC rua sont souvent les plus utiles, parce qu’ils révèlent les expéditeurs réels, les oublis et les erreurs répétées. Un responsable peut alors corriger un outil marketing, une passerelle de support ou un ancien serveur interne sans attendre le premier rejet massif.
Bloc témoignage
« Les rapports DMARC m’ont montré un service oublié depuis des mois. Sans eux, le passage en p=reject aurait bloqué nos emails de support. »
Claire D., responsable support
Passer de p=none à p=reject sans perte de mails
Le passage le plus sûr consiste à observer d’abord, puis à corriger, avant de durcir progressivement. Selon Check Point, cette prudence protège mieux le domaine qu’un basculement brutal, car l’authentification email ne remplace pas la vigilance sur les pièces jointes et les liens.
Avis professionnel
« La meilleure politique DMARC est celle qui a été préparée avec patience, rapports à l’appui, et un inventaire exhaustif des expéditeurs. »
Paul N., consultant sécurité email
Une fois les trois enregistrements stabilisés, la maintenance devient surtout une affaire de discipline et de suivi des nouveaux outils. C’est précisément ce suivi régulier qui maintient la sécurité email sur la durée, sans surprise au moindre changement de fournisseur.
Source : AFNIC, « Protégez vos e-mails grâce au DNS : SPF, DKIM, DMARC », AFNIC ; Microsoft, « Email authentication for Microsoft 365 », Microsoft Docs ; Proofpoint, « SPF, DKIM and DMARC: Setup Guide », Proofpoint.
Tableau des usages SPF
Situation
Effet recherché
Risque évité
Point de vigilance
Hébergeur principal
Autoriser l’envoi normal
Rejet injustifié
Un seul TXT SPF
Outil marketing
Inclure un service tiers
Spam ou échec
Limiter les lookups
Serveur de facturation
Garder les emails transactionnels
Blocage des factures
Vérifier l’IP réelle
Nouvelle application
Étendre la politique existante
Permerror silencieux
Rester sous dix recherches
DKIM et DMARC, signature et décision finale
DKIM ajoute une signature cryptographique qui prouve que le message n’a pas été modifié en route. Selon Microsoft, cette signature survit souvent mieux aux transferts que SPF, car elle s’appuie sur le contenu signé plutôt que sur l’adresse de l’expéditeur technique.
DMARC vient ensuite arbitrer le sort du message si SPF ou DKIM échoue. Il indique quoi faire, à qui envoyer les rapports, et si le domaine visible dans le champ From correspond bien au domaine authentifié, ce que l’on appelle l’alignement.
Exemple de référence
« J’ai découvert qu’un ancien outil de facturation envoyait encore des mails au nom du domaine. Le passage par les rapports DMARC a évité un blocage complet au moment du durcissement. »
Marc L., responsable systèmes
Cette mécanique complète explique pourquoi les services de messagerie exigent désormais une configuration cohérente, surtout quand plusieurs plateformes signent ou envoient pour le même nom de domaine. La suite logique consiste à poser une méthode de déploiement progressive, sans casser les expéditions légitimes.
Déployer les enregistrements DNS sans casser l’envoi
Image de préparation
Une fois les rôles compris, l’enjeu devient opérationnel : éviter qu’un changement DNS interrompe une facturation ou une newsletter. Selon Proofpoint, la montée en charge la plus sûre commence par l’observation, puis progresse vers des règles plus strictes.
- Inventaire complet des expéditeurs
- SPF unique et consolidé
- DKIM activé sur chaque service
- DMARC d’abord en observation
- Durcissement progressif après rapports
Méthode de mise en place
Étape
Action
But
Erreur à éviter
Inventaire
Lister tous les émetteurs
Ne rien oublier
Oublier un CRM
SPF
Fusionner les sources
Autoriser correctement
Créer plusieurs SPF
DKIM
Publier la clé publique
Signer les messages
Mauvais sélecteur
DMARC
Activer rua
Lire les rapports
Passer trop vite à reject
Les erreurs de configuration les plus fréquentes
Les difficultés arrivent presque toujours au même endroit : trop de recherches DNS, sélecteur DKIM mal recopié, ou expéditeur oublié dans l’inventaire. Selon le guide de Microsoft 365, un message peut même passer SPF et DKIM, puis échouer DMARC si l’alignement avec le domaine From n’est pas respecté.
Un cas courant consiste à voir un mail partir en spam malgré un statut DMARC positif. Dans ce scénario, le problème vient souvent du contenu, de l’IP d’envoi ou de la réputation du domaine, pas de l’authentification elle-même.
Retour d’expérience terrain
« J’ai corrigé SPF en fusionnant trois services dans un seul enregistrement, puis le score de délivrabilité a immédiatement cessé de chuter. »
Sophie M., administratrice messagerie
Quand les erreurs sont identifiées tôt, la politique DMARC devient un outil de contrôle fin plutôt qu’un frein brutal. Cela prépare naturellement la vérification, indispensable avant de durcir quoi que ce soit.
Vérifier SPF, DKIM et DMARC avant de passer en politique stricte
Image de contrôle
Une configuration propre ne se devine pas, elle se contrôle avec des outils précis. Selon MXToolbox, les vérifications SPF, DKIM et DMARC permettent de repérer la syntaxe défectueuse, les lookups excessifs et les politiques publiées trop tôt.
Vidéo utile sur les tests
Les bons outils de test et de surveillance
Le trio classique reste simple à utiliser : un contrôle DNS avec dig, un vérificateur en ligne, puis un envoi test vers mail-tester.com. Cette combinaison donne une vision claire de l’enregistrement publié, de la signature appliquée et du verdict final côté réception.
Dans la pratique, les rapports DMARC rua sont souvent les plus utiles, parce qu’ils révèlent les expéditeurs réels, les oublis et les erreurs répétées. Un responsable peut alors corriger un outil marketing, une passerelle de support ou un ancien serveur interne sans attendre le premier rejet massif.
Bloc témoignage
« Les rapports DMARC m’ont montré un service oublié depuis des mois. Sans eux, le passage en p=reject aurait bloqué nos emails de support. »
Claire D., responsable support
Passer de p=none à p=reject sans perte de mails
Le passage le plus sûr consiste à observer d’abord, puis à corriger, avant de durcir progressivement. Selon Check Point, cette prudence protège mieux le domaine qu’un basculement brutal, car l’authentification email ne remplace pas la vigilance sur les pièces jointes et les liens.
Avis professionnel
« La meilleure politique DMARC est celle qui a été préparée avec patience, rapports à l’appui, et un inventaire exhaustif des expéditeurs. »
Paul N., consultant sécurité email
Une fois les trois enregistrements stabilisés, la maintenance devient surtout une affaire de discipline et de suivi des nouveaux outils. C’est précisément ce suivi régulier qui maintient la sécurité email sur la durée, sans surprise au moindre changement de fournisseur.
Source : AFNIC, « Protégez vos e-mails grâce au DNS : SPF, DKIM, DMARC », AFNIC ; Microsoft, « Email authentication for Microsoft 365 », Microsoft Docs ; Proofpoint, « SPF, DKIM and DMARC: Setup Guide », Proofpoint.
Comprendre SPF, DKIM et DMARC pour sécuriser ses emails
Après ce rappel essentiel, il faut distinguer clairement le rôle de chaque mécanisme, car beaucoup de blocages viennent d’une confusion de base. Selon l’AFNIC, ces trois protocoles d’email couvrent des angles différents de l’authentification email, et leur complémentarité fait toute la force du dispositif.
Image de l’archère
SPF, la liste des émetteurs autorisés
SPF répond à une question simple : quels serveurs ont le droit d’envoyer au nom du domaine ? Selon le RFC 7208, le serveur destinataire vérifie l’adresse technique d’émission et compare l’IP à une liste publiée dans le DNS.
Dans une PME, cela sert souvent à déclarer l’hébergeur mail principal, puis un outil tiers comme un service d’envoi ou un CRM. Le piège classique consiste à publier deux enregistrements SPF séparés, alors qu’un seul enregistrement consolidé doit regrouper toutes les sources.
Tableau des usages SPF
Situation
Effet recherché
Risque évité
Point de vigilance
Hébergeur principal
Autoriser l’envoi normal
Rejet injustifié
Un seul TXT SPF
Outil marketing
Inclure un service tiers
Spam ou échec
Limiter les lookups
Serveur de facturation
Garder les emails transactionnels
Blocage des factures
Vérifier l’IP réelle
Nouvelle application
Étendre la politique existante
Permerror silencieux
Rester sous dix recherches
DKIM et DMARC, signature et décision finale
DKIM ajoute une signature cryptographique qui prouve que le message n’a pas été modifié en route. Selon Microsoft, cette signature survit souvent mieux aux transferts que SPF, car elle s’appuie sur le contenu signé plutôt que sur l’adresse de l’expéditeur technique.
DMARC vient ensuite arbitrer le sort du message si SPF ou DKIM échoue. Il indique quoi faire, à qui envoyer les rapports, et si le domaine visible dans le champ From correspond bien au domaine authentifié, ce que l’on appelle l’alignement.
Exemple de référence
« J’ai découvert qu’un ancien outil de facturation envoyait encore des mails au nom du domaine. Le passage par les rapports DMARC a évité un blocage complet au moment du durcissement. »
Marc L., responsable systèmes
Cette mécanique complète explique pourquoi les services de messagerie exigent désormais une configuration cohérente, surtout quand plusieurs plateformes signent ou envoient pour le même nom de domaine. La suite logique consiste à poser une méthode de déploiement progressive, sans casser les expéditions légitimes.
Déployer les enregistrements DNS sans casser l’envoi
Image de préparation
Une fois les rôles compris, l’enjeu devient opérationnel : éviter qu’un changement DNS interrompe une facturation ou une newsletter. Selon Proofpoint, la montée en charge la plus sûre commence par l’observation, puis progresse vers des règles plus strictes.
- Inventaire complet des expéditeurs
- SPF unique et consolidé
- DKIM activé sur chaque service
- DMARC d’abord en observation
- Durcissement progressif après rapports
Méthode de mise en place
Étape
Action
But
Erreur à éviter
Inventaire
Lister tous les émetteurs
Ne rien oublier
Oublier un CRM
SPF
Fusionner les sources
Autoriser correctement
Créer plusieurs SPF
DKIM
Publier la clé publique
Signer les messages
Mauvais sélecteur
DMARC
Activer rua
Lire les rapports
Passer trop vite à reject
Les erreurs de configuration les plus fréquentes
Les difficultés arrivent presque toujours au même endroit : trop de recherches DNS, sélecteur DKIM mal recopié, ou expéditeur oublié dans l’inventaire. Selon le guide de Microsoft 365, un message peut même passer SPF et DKIM, puis échouer DMARC si l’alignement avec le domaine From n’est pas respecté.
Un cas courant consiste à voir un mail partir en spam malgré un statut DMARC positif. Dans ce scénario, le problème vient souvent du contenu, de l’IP d’envoi ou de la réputation du domaine, pas de l’authentification elle-même.
Retour d’expérience terrain
« J’ai corrigé SPF en fusionnant trois services dans un seul enregistrement, puis le score de délivrabilité a immédiatement cessé de chuter. »
Sophie M., administratrice messagerie
Quand les erreurs sont identifiées tôt, la politique DMARC devient un outil de contrôle fin plutôt qu’un frein brutal. Cela prépare naturellement la vérification, indispensable avant de durcir quoi que ce soit.
Vérifier SPF, DKIM et DMARC avant de passer en politique stricte
Image de contrôle
Une configuration propre ne se devine pas, elle se contrôle avec des outils précis. Selon MXToolbox, les vérifications SPF, DKIM et DMARC permettent de repérer la syntaxe défectueuse, les lookups excessifs et les politiques publiées trop tôt.
Vidéo utile sur les tests
Les bons outils de test et de surveillance
Le trio classique reste simple à utiliser : un contrôle DNS avec dig, un vérificateur en ligne, puis un envoi test vers mail-tester.com. Cette combinaison donne une vision claire de l’enregistrement publié, de la signature appliquée et du verdict final côté réception.
Dans la pratique, les rapports DMARC rua sont souvent les plus utiles, parce qu’ils révèlent les expéditeurs réels, les oublis et les erreurs répétées. Un responsable peut alors corriger un outil marketing, une passerelle de support ou un ancien serveur interne sans attendre le premier rejet massif.
Bloc témoignage
« Les rapports DMARC m’ont montré un service oublié depuis des mois. Sans eux, le passage en p=reject aurait bloqué nos emails de support. »
Claire D., responsable support
Passer de p=none à p=reject sans perte de mails
Le passage le plus sûr consiste à observer d’abord, puis à corriger, avant de durcir progressivement. Selon Check Point, cette prudence protège mieux le domaine qu’un basculement brutal, car l’authentification email ne remplace pas la vigilance sur les pièces jointes et les liens.
Avis professionnel
« La meilleure politique DMARC est celle qui a été préparée avec patience, rapports à l’appui, et un inventaire exhaustif des expéditeurs. »
Paul N., consultant sécurité email
Une fois les trois enregistrements stabilisés, la maintenance devient surtout une affaire de discipline et de suivi des nouveaux outils. C’est précisément ce suivi régulier qui maintient la sécurité email sur la durée, sans surprise au moindre changement de fournisseur.
Source : AFNIC, « Protégez vos e-mails grâce au DNS : SPF, DKIM, DMARC », AFNIC ; Microsoft, « Email authentication for Microsoft 365 », Microsoft Docs ; Proofpoint, « SPF, DKIM and DMARC: Setup Guide », Proofpoint.
Comprendre son ordinateur comme un système, pas une boîte noire
Qu'il s'agisse de choisir un processeur, d'ajouter de la mémoire ou de sécuriser sa connexion réseau, chaque décision mérite d'être comprise plutôt que subie. Saisir les contraintes réelles de chaque composant permet d'en tirer des bénéfices concrets : performance, fiabilité et longévité de la machine.
Pour aller plus loin
- Vérifier l'adéquation entre vos usages réels et la configuration matérielle envisagée
- Comparer les technologies de stockage selon vitesse, fiabilité et coût
- Sécuriser l'accès et les sauvegardes de vos données sensibles
- Anticiper le refroidissement dès la conception d'une configuration
