Comprendre SPF, DKIM et DMARC

1. Cartographier vos expéditeurs

L’authentification associe vos emails à des informations vérifiables sur votre domaine. Commencez par recenser les services qui envoient pour votre entreprise : messagerie principale, campagnes, facturation et support. Identifiez aussi la personne qui gère les enregistrements DNS, l’annuaire technique de votre domaine. Cette carte facilite la configuration et les futures évolutions. Google et Microsoft présentent SPF, DKIM et DMARC comme des mécanismes complémentaires. Une mise en place adaptée couvre chaque service utilisé et l’identité que vos destinataires voient dans leur messagerie.

1. Listez les services d’envoi.
2. Identifiez le gestionnaire DNS.
3. Notez les domaines utilisés.

2. SPF : déclarer les sources autorisées

SPF indique quels serveurs peuvent envoyer des emails pour un domaine utilisé dans l’enveloppe technique du message. Le fournisseur de messagerie fournit généralement les valeurs à intégrer à votre DNS. Rassemblez les sources légitimes dans une configuration cohérente, puis vérifiez la publication avec votre responsable technique. L’adresse visible et l’enveloppe remplissent des rôles distincts ; les identifier aide à lire un résultat d’authentification. À chaque ajout de service, reprenez votre cartographie afin que les déclarations reflètent votre organisation actuelle.

1. Récupérez les valeurs du fournisseur.
2. Coordonnez leur publication DNS.
3. Vérifiez le domaine d’enveloppe.

3. DKIM : signer les messages

DKIM ajoute une signature au message à l’aide d’une clé gérée par le service d’envoi. Une clé publique publiée dans le DNS permet au serveur destinataire de vérifier cette signature. Le fournisseur vous indique le sélecteur et le type d’enregistrement à créer. Après publication, activez la signature selon sa procédure et envoyez un message de contrôle. La lecture des en-têtes permet de retrouver le domaine signataire et le résultat DKIM. Conservez ces informations dans votre documentation de domaine pour les prochaines vérifications.

1. Générez la clé chez le fournisseur.
2. Publiez l’enregistrement indiqué.
3. Contrôlez la signature d’un email.

4. DMARC : relier l’identité et le suivi

DMARC utilise SPF ou DKIM et leur alignement avec le domaine de l’adresse visible. Il définit aussi une politique de traitement et peut demander des rapports agrégés. Ces rapports aident à comprendre les services qui utilisent votre domaine. Préparez le déploiement avec votre fournisseur, vérifiez les sources légitimes et faites évoluer la politique avec les observations. Complétez le contrôle par un message de test et les outils de suivi disponibles. Cette démarche donne à votre équipe une base lisible pour authentifier les échanges et maintenir la configuration.

1. Vérifiez l’alignement des domaines.
2. Organisez la lecture des rapports.
3. Validez la configuration de bout en bout.

Pour aller plus loin.