- SPF, DKIM et DMARC sont trois enregistrements DNS qui empêchent un attaquant d’envoyer des e-mails frauduleux en usurpant votre nom de domaine.
- Sans DMARC configuré en politique stricte, SPF et DKIM seuls restent largement contournables.
- Une mauvaise configuration peut aussi faire arriver vos propres e-mails légitimes en spam chez vos destinataires.
Avez-vous déjà reçu un e-mail semblant provenir d’une entreprise connue, mais manifestement frauduleux ? C’est souvent le résultat d’une absence ou d’une mauvaise configuration de SPF, DKIM et DMARC sur le domaine usurpé. Ce guide explique simplement ce que font ces trois protocoles et comment les configurer correctement.
1. SPF (Sender Policy Framework)
Le SPF est un enregistrement DNS qui liste explicitement les serveurs autorisés à envoyer des e-mails au nom de votre domaine. Quand un serveur de messagerie reçoit un e-mail, il vérifie que le serveur expéditeur figure bien dans cette liste. Si ce n’est pas le cas, l’e-mail peut être marqué comme suspect ou rejeté.
2. DKIM (DomainKeys Identified Mail)
Le DKIM ajoute une signature cryptographique à chaque e-mail sortant, générée à partir d’une clé privée connue uniquement de votre serveur d’envoi. Le destinataire vérifie cette signature via une clé publique publiée dans votre DNS, garantissant que le contenu de l’e-mail n’a pas été altéré en chemin et provient bien d’un serveur autorisé.
3. DMARC (Domain-based Message Authentication)
Le DMARC s’appuie sur les résultats de SPF et DKIM pour définir une politique claire : que faire si un e-mail échoue ces vérifications ? Trois options existent, de la plus permissive à la plus stricte.
| Politique | Effet | Recommandation |
|---|---|---|
| p=none | Aucune action, juste des rapports de surveillance | Étape de départ, pour observer avant d’agir |
| p=quarantine | E-mails suspects placés en spam | Étape intermédiaire recommandée |
| p=reject | E-mails frauduleux rejetés purement et simplement | Objectif final une fois les sources légitimes vérifiées |
4. Comment vérifier votre configuration actuelle
Plusieurs outils en ligne gratuits permettent de vérifier en quelques secondes si votre domaine dispose d’enregistrements SPF, DKIM et DMARC valides, et d’identifier d’éventuelles erreurs de syntaxe qui rendraient ces protections inefficaces malgré leur présence apparente.
📋 Checklist SPF/DKIM/DMARC
- Un enregistrement SPF unique et valide est publié pour le domaine.
- DKIM est activé et signé pour tous les services d’envoi légitimes (messagerie, outils marketing, facturation).
- DMARC est configuré, au minimum en mode « p=none » pour commencer à recevoir des rapports.
- Les rapports DMARC sont consultés régulièrement pour repérer des sources d’envoi inattendues.
- Une trajectoire vers « p=reject » est planifiée une fois toutes les sources légitimes identifiées.
❓ FAQ
❓ SPF, DKIM et DMARC suffisent-ils à bloquer tout le phishing ?
Non : ils protègent contre l’usurpation de votre propre domaine, pas contre les e-mails de phishing envoyés depuis des domaines similaires ou différents. Ils restent néanmoins essentiels pour protéger votre réputation d’expéditeur.
❓ Est-ce compliqué à mettre en place ?
La configuration technique est relativement simple (ajout d’enregistrements DNS), mais nécessite un inventaire précis de tous les services autorisés à envoyer des e-mails en votre nom, sous peine de bloquer des envois légitimes.
❓ Ces protocoles ralentissent-ils l’envoi des e-mails ?
Non, la vérification se fait de manière transparente et quasi instantanée côté serveur destinataire, sans impact perceptible pour l’expéditeur ou le destinataire.
📚 Pour aller plus loin
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Spécialiste Microsoft 365 et gestion des identités. Camille aide les PME à sécuriser leurs comptes, leur messagerie et leurs accès sans complexifier le quotidien des équipes.
