Configurer SPF, DKIM et DMARC pour protéger l'e-mail de votre domaine

SPF, DKIM et DMARC sont trois enregistrements DNS qui permettent aux serveurs de messagerie de vérifier qu'un e-mail envoyé au nom de votre domaine vient bien de vous. Sans eux, n'importe qui peut plus facilement usurper votre adresse, et vos propres messages risquent de finir en courrier indésirable. Notre audit consulte les enregistrements DNS du domaine de votre site, indépendamment de la page testée.

SPF : lister les serveurs autorisés à envoyer

L'enregistrement SPF est un champ TXT à la racine du domaine qui énumère les serveurs autorisés. Son absence est un constat important. Votre fournisseur de messagerie ou d'envoi (Google Workspace, Microsoft 365, Brevo...) donne la valeur exacte à copier ; elle ressemble à ceci :

exemple.fr.  TXT  "v=spf1 include:fournisseur-de-messagerie.example ~all"

• Un domaine n'a qu'un seul enregistrement SPF : fusionnez les include de tous vos fournisseurs dans la même ligne.
• SPF est limité à 10 consultations DNS : au-delà, l'enregistrement est invalide.
• Si le domaine n'envoie aucun e-mail, v=spf1 -all déclare explicitement qu'aucun serveur n'est autorisé.

DKIM : signer les messages

DKIM ajoute une signature cryptographique à chaque message, vérifiable avec une clé publique publiée dans le DNS. Elle se configure chez votre fournisseur de messagerie, qui indique le nom du sélecteur et l'enregistrement TXT à publier, sous la forme selecteur._domainkey.exemple.fr.

Précision sur l'audit : il teste uniquement des sélecteurs courants (google, selector1, selector2, k1, k2, dkim, default, mail, smtp). Un sélecteur personnalisé n'est pas détecté ; le constat DKIM est donc un point d'attention, pas une preuve d'absence.

DMARC : fixer la politique et recevoir des rapports

DMARC indique aux destinataires quoi faire des messages qui échouent à SPF et DKIM, et vous envoie des rapports. Il se publie en TXT sur _dmarc.exemple.fr. L'absence de DMARC est un constat important ; une politique p=none est un constat d'attention, car elle surveille sans rien appliquer.

_dmarc.exemple.fr.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr"

Progressez par étapes :

1. Commencez par p=none et lisez les rapports reçus à l'adresse rua pendant quelques semaines.
2. Corrigez les expéditeurs légitimes qui échouent encore (outil de newsletter, CRM, formulaire).
3. Passez à p=quarantine, puis à p=reject une fois les rapports propres.

Où publier ces enregistrements

Dans la zone DNS de votre domaine, chez votre registrar ou votre hébergeur. Si vous ne gérez pas le DNS vous-même, transmettez-leur les valeurs fournies par votre prestataire de messagerie.

Vérifier

Depuis un terminal, interrogez le DNS :

dig +short TXT exemple.fr
dig +short TXT _dmarc.exemple.fr
dig +short TXT selecteur._domainkey.exemple.fr

La propagation peut prendre du temps selon la durée de vie (TTL) des anciens enregistrements. Relancez ensuite l'audit : la catégorie Authentification e-mail doit passer au vert. Envoyez aussi un message de test vers une boîte Gmail et affichez ses en-têtes d'origine : SPF, DKIM et DMARC doivent apparaître en « pass ».