Outils gratuits · Guide

SPF, DKIM et DMARC expliqués sans jargon

N'importe qui peut envoyer un email qui prétend venir de factures@ton-entreprise.fr. Sans protection, tes clients n'ont aucun moyen de savoir qu'il est faux. SPF, DKIM et DMARC sont trois petits enregistrements dans le DNS de ton domaine qui règlent ce problème.

SPF : qui peut envoyer en ton nom

Le SPF est une liste des serveurs autorisés à envoyer des emails avec ton domaine, par exemple Google Workspace ou Microsoft 365. Un serveur absent de la liste est suspect.

C'est un enregistrement TXT qui ressemble à v=spf1 include:_spf.google.com ~all. Il ne peut y en avoir qu'un : deux enregistrements SPF s'annulent.

DKIM : la signature de chaque email

Le DKIM signe chaque email avec une clé secrète. Le destinataire vérifie la signature avec la clé publique publiée dans ton DNS. Il sait ainsi que l'email vient vraiment de toi et n'a pas été modifié en route. Il s'active dans le tableau de bord de ton fournisseur d'email, qui te donne l'enregistrement à copier.

DMARC : que faire des faux

Le DMARC indique aux serveurs quoi faire quand un email échoue au SPF et au DKIM : le laisser passer (p=none), l'envoyer en spam (p=quarantine) ou le refuser (p=reject). Il t'envoie aussi des rapports sur qui envoie des emails en ton nom.

Par où commencer

1. Vérifie ton domaine avec l'outil gratuit.
2. Crée le SPF pour le service d'email que tu utilises.
3. Active le DKIM dans le tableau de bord de ton fournisseur d'email.
4. Crée le DMARC en p=none, attends 2 à 4 semaines, puis passe à p=quarantine.

Bonus : Google, Microsoft et Yahoo exigent désormais SPF, DKIM et DMARC des gros expéditeurs. Avec les trois, tes vrais emails arrivent plus souvent dans la boîte de réception.