Aller au contenu

SPF, DKIM et DMARC : protéger les courriels de votre domaine

La réponse courte.

SPF dit quels serveurs peuvent envoyer des courriels pour votre domaine. DKIM signe chaque courriel. DMARC dit au destinataire quoi faire d'un courriel qui échoue, et vous envoie des rapports.

Sans les trois, un fraudeur peut écrire à vos clients sous votre nom. Et vos vrais courriels risquent de finir en indésirables.

Guide de DATIVO, mis à jour le 05/11/2026. Sources vérifiées à cette date, listées en fin de page.

Pourquoi s'en occuper maintenant

Depuis février 2024, Gmail demande à tout expéditeur de mettre en place SPF ou DKIM. Yahoo pose la même exigence minimale.

Au-delà de 5 000 messages par jour vers Gmail, il faut SPF, DKIM et DMARC. Le domaine de l'expéditeur visible doit être aligné sur celui de SPF ou de DKIM.

L'ANSSI recommande aussi de configurer SPF, DKIM et DMARC, et de les fiabiliser avec DNSSEC.

Les trois mécanismes, en clair

SPF : qui a le droit d'envoyer

Un enregistrement DNS de type TXT liste les serveurs autorisés. Il se termine par « -all » : tout autre serveur est refusé.

Un seul enregistrement SPF par domaine. Il ne doit pas déclencher plus de 10 requêtes DNS.

DKIM : une signature sur chaque courriel

Votre service d'envoi signe chaque message avec une clé privée. La clé publique est publiée dans le DNS. Visez une clé RSA de 2048 bits.

DMARC : la règle du jeu et les rapports

Un enregistrement TXT sur « _dmarc » dit quoi faire d'un courriel non authentifié : rien, le mettre en indésirables, ou le refuser.

Il demande aussi des rapports quotidiens. Vous voyez ainsi qui envoie au nom de votre domaine.

La mise en place, pas à pas

  1. Listez vos services d'envoi : messagerie, logiciel de facturation, outil de lettre d'information, site.
  2. Publiez un SPF unique qui les inclut tous, terminé par « -all ».
  3. Activez DKIM dans chaque service, avec une clé de 2048 bits.
  4. Publiez DMARC en observation : « p=none » avec une adresse de rapports.
  5. Lisez les rapports quelques semaines, et corrigez les services oubliés.
  6. Durcissez : « p=quarantine », puis « p=reject ». Pensez aux sous-domaines.

Un domaine qui n'envoie aucun courriel se protège aussi : un SPF « v=spf1 -all » et un DMARC « p=reject ».

Où en sont les normes

SPF est défini par la RFC 7208, DKIM par la RFC 6376. DMARC a d'abord été décrit par la RFC 7489.

Depuis mai 2026, la RFC 9989 fait de DMARC une norme proposée de l'IETF et remplace la RFC 7489.

Ce que l'audit vérifie sur ce sujet

Chaque point a sa page : pourquoi il compte, comment corriger, sa source exacte.

Questions fréquentes

Faut-il passer DMARC en « p=reject » tout de suite ?

Non. Commencez en « p=none » et lisez les rapports. Un service oublié dans SPF ou DKIM verrait sinon ses courriels refusés.

Mon domaine n'envoie pas de courriels. Suis-je concerné ?

Oui : un fraudeur peut quand même l'usurper. Publiez « v=spf1 -all » et une politique DMARC « p=reject ».

Qui doit faire ces réglages ?

Celui qui gère votre zone DNS : souvent votre hébergeur ou votre prestataire. Votre service d'envoi fournit les valeurs DKIM.

Combien de temps faut-il ?

Quelques heures pour publier les enregistrements. Prévoyez ensuite quelques semaines de rapports avant de durcir DMARC.

Sources

Sources vérifiées le 05/11/2026. Ce guide informe ; il ne rend pas d'avis juridique.

Les autres guides

Vérifiez votre site sur ces points

L'audit les contrôle avec 74 autres, en quelques minutes, sans rien forcer.

29,99 € HT l'audit complet d'un site (35,99 € TTC). Rapport en quelques minutes, facture à votre entreprise.