SPF, DKIM et DMARC : le guide complet pour protéger les e-mails de son nom de domaine

Sans protection particulière, n’importe qui peut envoyer un e-mail qui semble provenir de contact@votre-domaine.fr. Le protocole d’envoi des e-mails a été conçu à une époque où l’authentification n’était pas un sujet. Résultat : vos clients reçoivent de fausses factures « de votre part », et, inversement, vos vrais messages finissent dans les indésirables parce que les grandes messageries ne peuvent pas vérifier qu’ils sont légitimes.

Trois mécanismes complémentaires règlent le problème : SPF, DKIM et DMARC. Les principaux fournisseurs de messagerie exigent désormais leur présence, au moins pour les expéditeurs qui envoient beaucoup. Ce guide les détaille, avec une méthode de déploiement qui ne bloque pas vos propres e-mails.

L’essentiel en 30 secondes

• SPF déclare quels serveurs ont le droit d’envoyer pour votre domaine.
• DKIM signe chaque message pour prouver qu’il n’a pas été modifié et qu’il vient bien de vous.
• DMARC dit quoi faire des messages qui échouent, et vous envoie des rapports.
• Déploiement : SPF + DKIM partout, DMARC en p=none, analyse des rapports, puis quarantine et enfin reject.

SPF : la liste des expéditeurs autorisés

SPF (Sender Policy Framework) est un enregistrement DNS de type TXT, publié sur le domaine, qui liste les serveurs autorisés à envoyer des e-mails pour lui. Exemple pour un domaine utilisant Microsoft 365 et la messagerie de son hébergeur :

v=spf1 include:spf.protection.outlook.com include:_spf.hebergeur.example -all

Les règles à respecter

• Un seul enregistrement SPF par domaine. Deux enregistrements v=spf1 invalident SPF. Fusionnez les include.
• Dix recherches DNS maximum (chaque include, a, mx en coûte au moins une, parfois plusieurs en cascade). Au-delà, SPF échoue en « permerror ».
• La terminaison : -all (rejet strict) ou ~all (échec léger). Avec DMARC en place, ~all est souvent suffisant ; -all est plus explicite une fois tous les expéditeurs recensés.
• N’oubliez aucun expéditeur : site web, logiciel de facturation, outil de newsletter, CRM, prise de rendez-vous, imprimante qui envoie des scans par e-mail.

La limite de SPF

SPF vérifie le domaine de l’enveloppe technique (Return-Path), pas l’adresse visible par le destinataire. Seul, il ne suffit donc pas à empêcher l’usurpation de l’adresse affichée. C’est DMARC qui fait le lien.

DKIM : la signature cryptographique

DKIM (DomainKeys Identified Mail) ajoute à chaque message une signature calculée avec une clé privée détenue par le service d’envoi. Le serveur destinataire récupère la clé publique dans votre DNS et vérifie la signature. Si le message a été modifié en route, ou n’a pas été signé par un service autorisé, la vérification échoue.

selecteur1._domainkey.votre-domaine.fr  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

• Chaque service d’envoi fournit son propre sélecteur et sa clé (souvent sous forme de CNAME à créer).
• Utilisez des clés 2048 bits.
• Activez DKIM sur chaque service qui envoie au nom de votre domaine, y compris les outils marketing.
• Prévoyez une rotation des clés quand le service le permet.

DMARC : la politique et les rapports

DMARC (Domain-based Message Authentication, Reporting and Conformance) fait trois choses :

1. il exige l’alignement : le domaine validé par SPF ou par DKIM doit correspondre au domaine de l’adresse visible (« From ») ;
2. il indique au destinataire quoi faire en cas d’échec : rien (none), mettre en indésirables (quarantine) ou rejeter (reject) ;
3. il vous envoie des rapports agrégés indiquant qui envoie des e-mails en votre nom, et avec quel résultat.

_dmarc.votre-domaine.fr  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr; fo=1"

Les principales balises

Le déploiement progressif, étape par étape

1. Inventaire de tous les services qui envoient au nom du domaine.
2. SPF propre, avec tous les expéditeurs, sous la limite de 10 recherches.
3. DKIM activé sur chaque service.
4. DMARC en p=none avec rapports, pendant deux à quatre semaines.
5. Analyse des rapports : identifier les expéditeurs légitimes oubliés et les corriger.
6. p=quarantine, éventuellement avec pct=25 puis 100.
7. p=reject : les usurpations sont rejetées. C’est l’objectif final.

Les pièges classiques

• Le formulaire de contact du site qui envoie le message « depuis » l’adresse du visiteur : il échoue à DMARC et finit en indésirables. Envoyez depuis une adresse de votre domaine, via un SMTP authentifié, et placez l’adresse du visiteur en « Répondre à ».
• L’outil oublié (facturation, prise de rendez-vous) qui se retrouve bloqué au passage en reject : d’où l’importance de la phase d’observation.
• Les transferts automatiques qui cassent SPF : DKIM, qui survit généralement au transfert, est alors essentiel.
• Les listes de diffusion qui modifient les messages (ajout de pied de page) et cassent DKIM.
• Les domaines « dormants » qui n’envoient jamais d’e-mails mais peuvent être usurpés : protégez-les avec v=spf1 -all et p=reject.

Diagnostiquer un e-mail

Dans le message reçu, affichez l’original (ou la source) et cherchez l’en-tête Authentication-Results : il indique le résultat de SPF, DKIM et DMARC, et le domaine évalué. C’est le point de départ de tout diagnostic de délivrabilité.

Pour aller plus loin

• MTA-STS et TLS-RPT : imposent le chiffrement entre serveurs de messagerie et vous informent des échecs.
• BIMI : affiche votre logo dans certaines messageries, une fois DMARC en application stricte.

Questions fréquentes

Comment lire les rapports DMARC ?

Ce sont des fichiers XML compressés, peu lisibles à la main. Utilisez un service d’analyse de rapports DMARC ; plusieurs proposent une formule gratuite adaptée aux petits volumes.

DMARC peut-il bloquer mes propres e-mails ?

Oui, si vous passez en quarantine ou reject sans avoir recensé tous vos expéditeurs. C’est pour cela que la phase p=none est indispensable.

Mes e-mails arrivent en indésirables, est-ce lié ?

Souvent. Une absence de DKIM ou un SPF invalide dégrade fortement la délivrabilité. Le contenu, la réputation de l’adresse IP et le volume jouent aussi.

Faut-il configurer les sous-domaines séparément ?

La politique sp du domaine principal s’applique aux sous-domaines sans enregistrement propre. Un sous-domaine qui envoie (newsletter, par exemple) doit avoir son propre SPF et DKIM.

Pouvez-vous le configurer pour nous ?

Oui, cela fait partie de nos prestations d’infogérance et de nos audits de sécurité.

Besoin d’un accompagnement ?

MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Demandez un devis gratuit ou appelez le 05 32 42 99 98.