SPF, DKIM, DMARC : sécuriser son email professionnel sans jargon

Une adresse email professionnelle inspire confiance. Mais si le domaine est mal configuré, vos messages peuvent finir en spam, ou pire : quelqu'un peut tenter d'envoyer des emails en se faisant passer pour vous. SPF, DKIM et DMARC servent à limiter ce risque. Voici ce que chacun fait, sans jargon inutile.

SPF : qui a le droit d'envoyer

SPF indique quels serveurs sont autorisés à envoyer des emails pour votre domaine. Un enregistrement ressemble à ceci :

v=spf1 include:_spf.swiftheberg.com -all

En clair : les serveurs déclarés chez swiftheberg.com peuvent envoyer, tous les autres doivent être refusés. C'est la première brique, la plus simple à mettre en place, mais elle ne protège pas contre tout : SPF vérifie l'expéditeur technique, pas l'adresse que voit réellement votre destinataire dans son client mail.

DKIM : signer les messages

DKIM ajoute une signature cryptographique à chaque email envoyé. Le serveur qui reçoit le message peut vérifier qu'il n'a pas été modifié en chemin et qu'il vient bien d'un serveur autorisé. Ça se configure avec un enregistrement TXT dans la zone DNS, votre fournisseur email vous donne généralement la valeur exacte à copier, vous n'avez pas à la générer vous-même.

DMARC : dire quoi faire en cas d'échec

DMARC s'appuie sur SPF et DKIM pour définir une politique claire :

v=DMARC1; p=none; rua=mailto:[email protected]

Au début, p=none permet d'observer sans rien bloquer. Une fois que vous êtes sûr que tout ce qui envoie légitimement des emails pour votre domaine est bien couvert, vous passez à quarantine, puis à reject.

Ne sautez pas cette étape. Passer directement en p=reject sans avoir vérifié peut bloquer des emails parfaitement légitimes : outil de facturation, CRM, plateforme d'emailing, support client. Commencez par lister tous les services qui envoient des emails en votre nom, puis configurez SPF et DKIM pour chacun avant de durcir la politique DMARC.

Les erreurs les plus fréquentes

Sur ce sujet, les mêmes pièges reviennent souvent : plusieurs enregistrements SPF au lieu d'un seul fusionné, un service d'envoi oublié dans la liste, DKIM non activé côté fournisseur, une politique DMARC passée trop vite en reject, ou encore un sous-domaine d'envoi qui reste mal configuré alors que le domaine principal, lui, est propre.

Comment vérifier que tout fonctionne

Envoyez un email vers une boîte de test, puis regardez les en-têtes du message reçu. Vous devez voir SPF, DKIM et DMARC marqués pass. Des outils de test en ligne existent aussi pour ça, mais gardez en tête que la délivrabilité finale dépend également de votre réputation d'envoi et du contenu du message lui-même SPF/DKIM/DMARC ne sont pas une garantie magique contre le spam, seulement une protection contre l'usurpation.

Ce qu'on en pense, côté hébergeur

La sécurité email commence dans la zone DNS, et c'est justement l'endroit où les erreurs de configuration passent le plus souvent inaperçues : personne ne les voit tant que ça fonctionne, jusqu'au jour où un email de facturation important atterrit en spam. Autant faire les choses dans l'ordre dès le départ plutôt que de découvrir le problème au mauvais moment.

SPF suffit-il tout seul ? Non. SPF aide, mais DKIM et DMARC complètent la protection, les trois ensemble couvrent des angles différents.

Faut-il une adresse dédiée pour les rapports DMARC ? C'est préférable, pour recevoir les rapports sans polluer une boîte principale.