SPF, DKIM, DMARC : configuration pas à pas

SPF, DKIM et DMARC sont les trois enregistrements qui prouvent que vous êtes autorisé à envoyer des emails pour votre domaine. Sans eux, Gmail et Outlook n'ont aucune raison de vous faire confiance, et depuis février 2024 ils les exigent des expéditeurs de volume. Ce guide est un tutoriel pas à pas : à quoi sert chaque protocole, comment le configurer chez les principaux hébergeurs, avec des exemples d'enregistrements et les erreurs les plus fréquentes. Pour la théorie de fond, voyez notre article sur l'authentification email.

Vue d'ensemble des trois protocoles

Les trois se déclarent dans la zone DNS de votre domaine, sous forme d'enregistrements TXT. Le lieu où vous les ajoutez dépend de l'endroit où sont gérés vos DNS : votre hébergeur (OVH), votre CDN (Cloudflare), ou votre fournisseur de messagerie.

Étape 1 : configurer SPF

À quoi ça sert et comment ça marche

SPF (Sender Policy Framework) liste les serveurs autorisés à envoyer pour votre domaine. À la réception, le serveur destinataire vérifie que l'IP émettrice figure bien dans cette liste. Un seul enregistrement SPF est autorisé par domaine : plusieurs entrées SPF cassent la validation.

Ici, include:_spf.google.com autorise les serveurs de Google Workspace, et ~all indique un softfail pour tout le reste (les autres serveurs sont suspects mais pas rejetés d'office). Un -all impose un hardfail, plus strict. Attention à la limite de 10 recherches DNS : trop d'include finit par invalider le SPF.

Où l'ajouter selon votre hébergeur

Étape 2 : configurer DKIM

À quoi ça sert et comment ça marche

DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque message. Votre serveur signe avec une clé privée ; le destinataire vérifie la signature grâce à une clé publique publiée dans votre DNS. Si le message a été altéré en route, la signature ne correspond plus. La clé publique se publie sur un enregistrement TXT du type selecteur._domainkey.votredomaine.

Générer et publier la clé

La clé n'est pas inventée à la main : votre fournisseur de messagerie la génère. Dans Google Workspace, la console d'administration propose de générer une clé DKIM (idéalement 2048 bits) et fournit le nom et la valeur du TXT à publier, avec un sélecteur comme google. Dans Microsoft 365, DKIM s'active dans le centre d'administration, qui indique les enregistrements CNAME ou TXT à créer. Une fois le TXT publié dans la zone DNS, il faut activer la signature côté fournisseur, sinon la clé ne sert à rien.

Étape 3 : configurer DMARC

À quoi ça sert et comment ça marche

DMARC (Domain-based Message Authentication, Reporting and Conformance) s'appuie sur SPF et DKIM. Il définit ce que le destinataire doit faire quand un message échoue aux contrôles, et demande l'envoi de rapports. DMARC vérifie aussi l'alignement : le domaine visible par l'utilisateur doit correspondre au domaine authentifié par SPF ou DKIM.

Cet enregistrement se publie sur _dmarc.votredomaine. La balise p définit la politique : none observe sans agir, quarantine met en spam les messages non conformes, reject les rejette. La balise rua indique l'adresse qui recevra les rapports agrégés, précieux pour voir qui envoie en votre nom.

Monter en puissance progressivement

Ne commencez jamais par p=reject. Démarrez en p=none pendant quelques semaines pour collecter les rapports et repérer vos sources d'envoi légitimes. Une fois sûr que tout est bien authentifié, passez à p=quarantine, puis à p=reject. Passer directement en reject avec une configuration incomplète bloquerait vos propres emails légitimes.

Vérifier que tout fonctionne

Une fois les trois enregistrements en place, laissez le DNS se propager (de quelques minutes à quelques heures), puis vérifiez.

• Un outil en ligne comme MXToolbox contrôle la présence et la validité de SPF, DKIM et DMARC.
• La commande dig TXT votredomaine (ou nslookup) affiche vos enregistrements pour un contrôle direct.
• Google Postmaster Tools indique la conformité SPF, DKIM et DMARC de vos envois réels vers Gmail.
• Un email de test vers une boîte Gmail, puis « Afficher l'original », montre les résultats PASS ou FAIL des trois contrôles.

Les erreurs les plus fréquentes

• Deux enregistrements SPF sur le même domaine : un seul est autorisé, fusionnez-les.
• Dépasser la limite de 10 recherches DNS dans le SPF, ce qui l'invalide.
• Clé DKIM publiée mais signature non activée côté fournisseur.
• DMARC en p=reject trop tôt, avant d'avoir vérifié toutes ses sources d'envoi.
• Oublier un outil tiers (CRM, service d'emailing) dans le SPF, dont les envois échouent alors silencieusement.

Cas particuliers : sous-domaines et outils tiers

Deux situations méritent une attention particulière, car elles sont sources d'échecs silencieux.

Les outils tiers qui envoient pour vous

Un CRM, une plateforme d'emailing ou un service transactionnel envoie souvent depuis ses propres serveurs, avec votre domaine comme expéditeur. Chacun doit être déclaré : ajoutez son include au SPF et publiez la clé DKIM qu'il fournit. Oublier un de ces services, c'est le voir échouer aux contrôles alors que le reste fonctionne, ce qui explique bien des cas où « seulement certains emails » tombent en spam.

Les sous-domaines dédiés

Beaucoup d'organisations isolent leurs flux à risque, comme la prospection froide, sur un sous-domaine dédié (par exemple mail.votredomaine.com). Cela protège la réputation du domaine principal. Chaque sous-domaine a sa propre configuration : il lui faut ses propres enregistrements SPF et DKIM, et il hérite ou non de la politique DMARC selon la balise sp. Pensez à authentifier le sous-domaine comme un domaine à part entière.

L'authentification est nécessaire, mais pas suffisante

Configurer SPF, DKIM et DMARC est indispensable : sans eux, rien ne fonctionne. Mais une authentification parfaite ne garantit pas d'atteindre la boîte de réception. Elle prouve que vous êtes bien vous, elle ne dit rien de votre réputation ni de l'intérêt de vos messages. Un domaine authentifié mais mal noté finira quand même en spam, comme nous l'expliquons dans l'article sur pourquoi vos emails arrivent en spam.

En attendant, la logique complète est décrite sur la page fonctionnement, et vous pouvez suivre l'effet de votre authentification sur votre réputation expéditeur.