Configurer SPF, DKIM et DMARC pour votre e-mail pro

Si vos devis, vos factures ou vos e-mails de prospection finissent en spam, vérifiez votre DNS avant de réécrire le moindre objet. Les fournisseurs de messagerie décident de faire confiance à un message surtout selon que votre domaine prouve qu’il l’a envoyé. Trois enregistrements apportent cette preuve, et beaucoup de domaines d’entreprise en manquent au moins un.

Depuis février 2024, Gmail et Yahoo exigent SPF, DKIM et DMARC de quiconque envoie plus de 5 000 messages par jour à leurs utilisateurs, et demandent un taux de plaintes pour spam inférieur à 0,3 %. Les boîtes Outlook.com, Hotmail et Live de Microsoft ont ajouté des règles similaires pour les gros volumes en mai 2025. Vous envoyez peut-être bien moins de 5 000 messages par jour. Les contrôles vous concernent quand même en pratique, car les petits expéditeurs non authentifiés sont filtrés en premier.

Comptez environ une heure. Aucun code à écrire. Il vous faut l’accès à l’endroit où se trouve le DNS de votre domaine et à la console d’administration de votre fournisseur de messagerie.

Table of contents

Open Table of contents

• Ce que fait chaque enregistrement
• Étape 1 : listez tout ce qui envoie avec votre domaine
• Étape 2 : vérifiez ce que vous avez aujourd’hui
• Étape 3 : publiez un seul enregistrement SPF
• Étape 4 : activez DKIM pour chaque expéditeur
• Étape 5 : ajoutez DMARC en p=none et lisez les rapports
• Étape 6 : passez à l’application
• Demandez à Claude ou ChatGPT de le faire
• Vérifiez et gardez le tout en bonne santé

Ce que fait chaque enregistrement

1. SPF est une liste, publiée dans le DNS, des services autorisés à envoyer du courrier avec votre domaine. Le serveur destinataire compare le serveur expéditeur à cette liste.
2. DKIM est une signature que votre fournisseur ajoute à chaque message. La clé publique correspondante se trouve dans votre DNS, ce qui permet au destinataire de vérifier que le message n’a pas été modifié et qu’il est bien passé par votre fournisseur.
3. DMARC indique aux destinataires quoi faire lorsque SPF et DKIM échouent pour votre domaine, et où envoyer les rapports. Il exige aussi que le domaine authentifié corresponde à l’adresse visible dans le champ De.

Sans DMARC, SPF et DKIM ne sont que des recommandations. Avec lui, vous recevez un rapport sur ceux qui envoient du courrier en votre nom, y compris l’expéditeur que vous aviez oublié.

Étape 1 : listez tout ce qui envoie avec votre domaine

C’est l’étape que l’on saute, et c’est pour cela que l’on casse ensuite sa propre messagerie. Notez tout ce qui envoie depuis votre domaine :

• Vos boîtes mail (Microsoft 365, Google Workspace ou ce que GoDaddy a provisionné)
• Votre plateforme d’e-mail marketing
• Votre CRM et votre outil de facturation
• Les formulaires de votre site et le courrier transactionnel de WordPress
• Votre helpdesk et tout outil de prise de rendez-vous

Si vous avez une boîte Microsoft 365 via GoDaddy, mon guide sur le fonctionnement actuel de la connexion à la messagerie GoDaddy explique pourquoi l’administration se trouve dans le portail Microsoft. C’est là que vous activerez DKIM.

Étape 2 : vérifiez ce que vous avez aujourd’hui

Ouvrez un outil gratuit comme MXToolbox, Check MX de Google Admin Toolbox ou le vérificateur DMARC de dmarcian, et saisissez votre domaine. Notez trois choses :

• Y a-t-il exactement un enregistrement TXT commençant par v=spf1 ? Deux, c’est un échec, pas une sauvegarde.
• Votre fournisseur indique-t-il que DKIM signe ?
• Existe-t-il un enregistrement TXT sur _dmarc.votredomaine.com ?

Mieux encore : envoyez un message de test depuis votre adresse pro vers un compte Gmail, ouvrez-le, choisissez « Afficher l’original » et lisez les lignes SPF, DKIM et DMARC en haut. Chacune doit indiquer PASS.

Étape 3 : publiez un seul enregistrement SPF

Ajoutez un seul enregistrement TXT à la racine de votre domaine. Il liste chaque expéditeur avec un include: et se termine par une politique.

Includes courants :

• Microsoft 365 : include:spf.protection.outlook.com
• Google Workspace : include:_spf.google.com
• Votre plateforme d’e-mail marketing et votre CRM publient chacun leur propre valeur include dans leur documentation. Copiez-la depuis là plutôt que depuis un article de blog, le mien compris.

Un résultat typique ressemble à v=spf1 include:spf.protection.outlook.com include:valeur-de-votre-esp ~all.

Deux règles expliquent la plupart des échecs SPF. D’abord, un enregistrement par domaine : fusionnez les nouveaux expéditeurs dans la ligne existante au lieu d’ajouter un second enregistrement. Ensuite, SPF autorise 10 requêtes DNS au total, et chaque include: compte, y compris ceux qui sont imbriqués. Au-delà de dix, les destinataires traitent SPF comme une erreur permanente. Si vous êtes près de la limite, retirez les services que vous n’utilisez plus avant d’en ajouter.

Utilisez ~all (échec souple) tant que vous découvrez encore des expéditeurs, et envisagez -all une fois vos rapports DMARC propres.

Étape 4 : activez DKIM pour chaque expéditeur

DKIM se configure dans chaque service d’envoi, puis se publie dans le DNS.

• Microsoft 365 : dans le portail Microsoft Defender, ouvrez les paramètres DKIM sous l’authentification du courrier, choisissez votre domaine et activez la signature. Il vous donne d’abord deux enregistrements CNAME (selector1._domainkey et selector2._domainkey) à ajouter au DNS. L’activation échoue tant qu’ils ne sont pas propagés, ce qui peut prendre quelques heures.
• Google Workspace : dans la console d’administration, sous l’authentification Gmail, générez une clé pour votre domaine, publiez l’enregistrement TXT affiché et cliquez sur Démarrer l’authentification.
• Tout le reste : votre plateforme d’e-mail marketing, votre CRM et votre outil de facturation ont un écran « authentification du domaine » ou « domaine d’envoi » qui fournit les enregistrements à coller dans le DNS.

Faites-le pour chaque expéditeur de votre inventaire, pas seulement pour votre boîte mail. Une plateforme marketing qui signe avec son propre domaine plutôt que le vôtre passera DKIM tout en échouant à l’alignement DMARC.

Étape 5 : ajoutez DMARC en p=none et lisez les rapports

Créez un enregistrement TXT nommé _dmarc avec cette valeur :

v=DMARC1; p=none; rua=mailto:dmarc-reports@votredomaine.com

p=none ne change rien à la distribution. Il déclenche les rapports. Les rapports DMARC bruts sont des fichiers XML que personne ne lit ; pointez donc rua vers un service de rapports gratuit. Plusieurs éditeurs de surveillance DMARC proposent une offre gratuite qui transforme le XML en liste de sources d’envoi avec leurs succès et échecs.

Laissez p=none pendant deux à quatre semaines. Cherchez les expéditeurs légitimes qui échouent, comme un ancien outil de facturation ou un plugin de formulaire oublié, et corrigez-les en les ajoutant à SPF ou en activant leur DKIM.

Étape 6 : passez à l’application

Une fois que tous vos vrais expéditeurs passent :

1. Passez à p=quarantine; pct=25, pour qu’un quart des messages en échec aille en spam. Surveillez pendant une semaine.
2. Montez pct à 100.
3. Passez à p=reject.

Atteindre reject empêche des tiers d’usurper votre domaine dans des e-mails de phishing envoyés à vos clients, ce qui protège votre nom autant que votre taux de distribution.

Demandez à Claude ou ChatGPT de le faire

Collez ceci dans l’un ou l’autre, avec vos propres informations. Cela vous évite de lire l’aide de chaque fournisseur.

Je gère la messagerie du domaine [votredomaine.com]. Mes boîtes sont sur [Microsoft 365 / Google Workspace]. J’envoie aussi du courrier depuis [listez votre plateforme marketing, CRM, outil de facturation, formulaires du site]. Donne-moi : (1) l’enregistrement TXT SPF exact à publier en une seule ligne fusionnée, (2) les étapes de configuration DKIM dans l’écran d’administration de chaque service, (3) un enregistrement DMARC de départ avec rapports rua, et (4) un plan pour atteindre p=reject en quatre étapes. Dis-moi quelles valeurs je dois copier dans la documentation de chaque fournisseur plutôt que de te faire confiance, et compte les requêtes DNS de l’enregistrement SPF.

Avant de publier ce qu’il vous donne, vérifiez les valeurs include: sur la page d’aide actuelle de chaque fournisseur. Les modèles inventent des hôtes include plausibles, et une valeur erronée échoue en silence.

Vérifiez et gardez le tout en bonne santé

Une fois le DNS propagé, refaites le test « Afficher l’original » de Gmail depuis chaque expéditeur, pas seulement depuis votre boîte mail. Envoyez depuis votre CRM, votre outil de facturation et un formulaire du site. Chaque message doit afficher PASS pour SPF, DKIM et DMARC.

Ajoutez ensuite un rappel récurrent à votre agenda pour relire les rapports DMARC chaque trimestre. Chaque fois que vous adoptez un nouvel outil qui envoie des e-mails à vos clients avec votre domaine, authentifiez-le le jour même. Si vous constituez une liste ou envoyez des newsletters, comment constituer une liste d’e-mails couvre le côté envoi, et les meilleurs services d’e-mail marketing pour petites entreprises recense des plateformes qui vous guident dans l’authentification du domaine lors de la configuration.