SPF, DKIM et DMARC : authentifier ses emails

L'authentification par SPF, DKIM et DMARC prouve aux fournisseurs de messagerie que vos emails viennent bien de vous. Sans elle, vos campagnes finissent en spam — voici comment tout configurer correctement.

Guide EvoStudio · Mis à jour en 2026

Pourquoi authentifier ses emails ?

Quand vous envoyez un email, rien n'empêche techniquement un tiers d'usurper votre nom de domaine dans le champ « De ». C'est le principe même du phishing. Pour se défendre, les fournisseurs (Gmail, Outlook, Yahoo) vérifient l'identité de l'expéditeur avant d'accepter un message. Trois standards complémentaires servent à cette vérification : SPF, DKIM et DMARC. Un domaine correctement authentifié inspire confiance aux filtres anti-spam ; un domaine qui ne l'est pas voit ses messages relégués en courrier indésirable, voire rejetés. Depuis 2024, Gmail et Yahoo exigent les trois protocoles des expéditeurs de masse.

Concrètement, ces contrôles se jouent en une fraction de seconde, au moment où le serveur destinataire reçoit votre message. Le résultat — réussite ou échec — pèse directement dans le score anti-spam attribué à l'email. Bien authentifier, c'est donc mettre toutes les chances de votre côté avant même que le contenu ne soit examiné.

SPF, DKIM, DMARC : à quoi sert chaque protocole

Ces trois protocoles ne se remplacent pas : ils se complètent. Le SPF valide le serveur d'envoi, le DKIM valide le message lui-même, et le DMARC orchestre les deux en dictant la conduite à tenir en cas d'échec. Un domaine réellement protégé les combine tous les trois.

SPF (Sender Policy Framework)

Le SPF est une liste blanche publiée dans le DNS de votre domaine. Elle indique quels serveurs sont autorisés à envoyer des emails en votre nom. À la réception, le serveur destinataire compare l'adresse IP d'envoi à cette liste : si elle y figure, le message passe le test SPF ; sinon, il échoue.

DKIM (DomainKeys Identified Mail)

Le DKIM ajoute une signature cryptographique à chaque email. Votre serveur d'envoi signe le message avec une clé privée ; le destinataire vérifie cette signature grâce à la clé publique publiée dans votre DNS. Si le contenu a été modifié en route ou si la signature ne correspond pas, le test DKIM échoue. Le DKIM garantit ainsi l'authenticité et l'intégrité du message.

DMARC (Domain-based Message Authentication)

Le DMARC s'appuie sur SPF et DKIM. Il définit la politique à appliquer quand un message échoue à l'authentification — ne rien faire, mettre en quarantaine ou rejeter — et exige un « alignement » entre le domaine visible dans le champ « De » et celui validé par SPF ou DKIM. Le DMARC vous envoie aussi des rapports pour surveiller qui envoie en votre nom.

Comment configurer SPF, DKIM et DMARC (enregistrements DNS)

Ces trois protocoles se configurent entièrement dans la zone DNS de votre domaine, chez votre hébergeur ou votre registrar. Aucune modification du contenu de vos emails n'est nécessaire : tout se joue au niveau des enregistrements TXT et CNAME. Voici la marche à suivre pour chacun.

Configurer SPF

Le SPF se publie sous forme d'un enregistrement TXT sur votre domaine racine. Un exemple typique ressemble à v=spf1 include:_spf.votre-fournisseur.com ~all. La mention include autorise les serveurs de votre prestataire d'envoi, et ~all indique un échec « souple » pour tout le reste. Règle d'or : un seul enregistrement SPF par domaine, et pas plus de dix résolutions DNS, sous peine d'invalider le tout.

Configurer DKIM

Votre fournisseur d'envoi génère une paire de clés et vous fournit un enregistrement à publier, généralement sous la forme selecteur._domainkey.votre-domaine.com de type TXT ou CNAME. La valeur contient la clé publique (v=DKIM1; k=rsa; p=…). Le « sélecteur » permet d'avoir plusieurs clés en parallèle, utile pour la rotation. Une fois publiée, activez la signature côté serveur d'envoi.

Configurer DMARC

Le DMARC se publie en TXT sur le sous-domaine _dmarc.votre-domaine.com. Commencez toujours par une politique d'observation : v=DMARC1; p=none; rua=mailto:rapports@votre-domaine.com. Le mode p=none n'affecte pas la remise mais vous permet de recevoir les rapports et de vérifier que SPF et DKIM passent bien. Quand tout est propre, durcissez progressivement vers p=quarantine puis p=reject.

Les erreurs fréquentes à éviter

• Publier plusieurs enregistrements SPF sur le même domaine : un seul est autorisé.
• Dépasser dix résolutions DNS dans le SPF, ce qui le rend invalide (« permerror »).
• Oublier d'activer la signature DKIM côté serveur après avoir publié la clé.
• Passer en p=reject sans avoir analysé les rapports DMARC au préalable.
• Utiliser -all (échec strict) trop tôt, avant d'avoir recensé tous ses expéditeurs légitimes.

Impact sur la délivrabilité

L'authentification n'est pas une option cosmétique : c'est la fondation de votre délivrabilité. Un domaine dont SPF, DKIM et DMARC sont alignés bénéficie d'une meilleure réputation, franchit plus facilement les filtres et voit son taux de placement en boîte de réception grimper. À l'inverse, un email non signé part avec un lourd handicap. Pour aller plus loin, un serveur SMTP dédié vous donne une IP propre et un contrôle total sur ces enregistrements, ce qui n'est jamais garanti sur un service mutualisé.

Enfin, une authentification solide protège votre marque : elle empêche les fraudeurs d'usurper votre domaine pour envoyer des messages frauduleux en votre nom, ce qui préserve la confiance de vos destinataires sur le long terme et vous évite de voir votre réputation d'expéditeur ruinée par un tiers.

Questions fréquentes

SPF, DKIM et DMARC sont-ils tous obligatoires ?

Oui pour un expéditeur sérieux. SPF et DKIM authentifient chacun un aspect (l'IP et la signature), et DMARC les relie tout en imposant une politique. Depuis 2024, Gmail et Yahoo exigent les trois des expéditeurs de masse.

Combien de temps pour que les enregistrements soient actifs ?

La propagation DNS prend de quelques minutes à 48 heures selon votre hébergeur et la durée de cache (TTL). Vérifiez ensuite avec un outil de test d'authentification avant d'envoyer.

Quelle politique DMARC choisir au départ ?

Toujours p=none. Elle vous laisse collecter les rapports sans risque, puis vous durcissez vers quarantine et reject une fois SPF et DKIM confirmés.

Que signifie l'« alignement » en DMARC ?

Le domaine affiché dans le champ « De » doit correspondre à celui validé par SPF ou DKIM. Sans cet alignement, DMARC échoue même si SPF et DKIM passent individuellement.