SPF, DKIM, DMARC expliqués

SPF, DKIM et DMARC sont les trois piliers de l'authentification email. Ensemble, ils prouvent aux serveurs de réception que vos emails sont légitimes et intacts. Ils réduisent fortement le risque que vos cold emails soient signalés comme spam ou rejetés purement et simplement.

Ce chapitre explique en langage clair le rôle de chaque protocole, vous guide pas à pas dans leur configuration pour Google Workspace et Microsoft 365, et présente les outils de vérification à utiliser pour confirmer que tout fonctionne.

SPF : Sender Policy Framework

À quoi ça sert

SPF indique aux serveurs de réception quels serveurs sont autorisés à envoyer des emails au nom de votre domaine. C'est un enregistrement DNS qui liste les adresses IP et les services autorisés à envoyer en tant que vous@votredomaine.com.

Quand un serveur de réception reçoit un email prétendant provenir de votre domaine, il consulte l'enregistrement SPF. Si le serveur expéditeur figure dans la liste, le contrôle est validé. Sinon, il échoue, et l'email a plus de risques d'être marqué comme spam ou rejeté.

Comment le configurer

SPF est un enregistrement TXT dans les paramètres DNS de votre domaine. Voici son format :

Décortiquons-le :

• v=spf1 : indique qu'il s'agit d'un enregistrement SPF (version 1)
• include:_spf.google.com : autorise les serveurs de messagerie de Google à envoyer en votre nom. Pour Microsoft 365, utilisez include:spf.protection.outlook.com
• ~all : échec souple (soft fail) pour tout serveur non listé. Les serveurs non listés seront traités avec méfiance, mais acceptés. Vous pouvez utiliser -all (échec strict) pour un contrôle plus rigoureux une fois certain que votre configuration est correcte.

Pour Google Workspace :

1. Accédez au panneau de gestion DNS de votre registrar de domaine
2. Ajoutez un nouvel enregistrement TXT avec l'hôte @
3. Définissez la valeur sur v=spf1 include:_spf.google.com ~all
4. Enregistrez et attendez la propagation DNS (jusqu'à 48 heures, généralement bien moins)

Pour Microsoft 365 :

1. Accédez au panneau de gestion DNS de votre registrar de domaine
2. Ajoutez un nouvel enregistrement TXT avec l'hôte @
3. Définissez la valeur sur v=spf1 include:spf.protection.outlook.com ~all
4. Enregistrez et attendez la propagation DNS

DKIM : DomainKeys Identified Mail

À quoi ça sert

DKIM ajoute une signature numérique à chaque email que vous envoyez. La signature est créée avec une clé privée stockée sur votre serveur de messagerie et vérifiée avec une clé publique publiée dans votre DNS. Cela prouve deux choses : l'email provient bien de votre domaine, et il est resté intact en transit.

Pensez à un sceau de cire sur une lettre. Le destinataire peut vérifier que le sceau est authentique (grâce à la clé publique) et que la lettre est restée scellée (le contenu est intact).

Comment le configurer

Pour Google Workspace :

1. Accédez à la console d'administration Google > Applications > Google Workspace > Gmail > Authentifier les emails
2. Cliquez sur « Générer un nouvel enregistrement ». Sélectionnez votre domaine et la longueur de clé (2048 bits recommandés)
3. Google vous fournira le nom d'hôte d'un enregistrement TXT (par exemple google._domainkey) et une valeur (une longue chaîne de caractères)
4. Ajoutez-le comme enregistrement TXT dans vos paramètres DNS
5. Attendez la propagation, puis cliquez sur « Commencer l'authentification » dans la console d'administration Google

Pour Microsoft 365 :

1. Accédez à Microsoft 365 Defender > Stratégies et règles > Stratégies de menaces > Paramètres d'authentification des emails > DKIM
2. Sélectionnez votre domaine
3. Microsoft vous fournira deux enregistrements CNAME à ajouter à votre DNS
4. Ajoutez les deux enregistrements CNAME dans le DNS de votre domaine
5. Après la propagation, activez la signature DKIM dans le portail Microsoft 365

DMARC : Domain-based Message Authentication, Reporting, and Conformance

À quoi ça sert

DMARC se place au-dessus de SPF et DKIM. Il indique aux serveurs de réception quoi faire lorsqu'un email échoue aux contrôles SPF ou DKIM, et fournit des rapports pour suivre les résultats d'authentification de tous les emails envoyés depuis votre domaine.

DMARC propose trois niveaux de politique :

• p=none : surveillance uniquement. Les emails en échec sont tout de même livrés, mais vous recevez des rapports. Commencez ici.
• p=quarantine : les emails en échec vont en spam. À utiliser après avoir confirmé que SPF et DKIM fonctionnent correctement.
• p=reject : les emails en échec sont totalement rejetés. Le réglage le plus strict, à réserver au moment où vous êtes pleinement confiant dans votre configuration.

Comment le configurer

DMARC est un enregistrement TXT ajouté à votre DNS. Voici la configuration de départ recommandée :

Détail :

• v=DMARC1 : indique qu'il s'agit d'un enregistrement DMARC
• p=none : démarrez avec la surveillance uniquement. Tous les emails sont distribués normalement : DMARC se contente d'observer.
• rua=mailto:dmarc@yourdomain.com : adresse où envoyer les rapports agrégés. Vous recevrez des rapports présentant les résultats d'authentification.
• pct=100 : applique la politique à 100 % des emails

Étapes valables pour Google Workspace et Microsoft 365 :

1. Accédez à la gestion DNS de votre registrar de domaine
2. Ajoutez un enregistrement TXT avec l'hôte _dmarc
3. Définissez la valeur sur l'enregistrement DMARC ci-dessus (remplacez l'adresse email par votre véritable adresse de suivi)
4. Enregistrez et attendez la propagation
5. Après 2 à 4 semaines d'analyse des rapports, passez à p=quarantine
6. Après 2 à 4 semaines supplémentaires de fonctionnement stable, envisagez de passer à p=reject

Vérification : s'assurer que la configuration fonctionne

Une fois les trois enregistrements en place, vous devez vérifier qu'ils fonctionnent. Voici les outils à utiliser :

• MXToolbox (mxtoolbox.com) : saisissez votre domaine et vérifiez les enregistrements SPF, DKIM et DMARC. L'outil signale toute erreur ou mauvaise configuration.
• mail-tester.com : envoyez un email de test à l'adresse indiquée et recevez un score de délivrabilité sur 10. Visez 9 ou plus avant de lancer une campagne.
• Google Admin Toolbox : utilisez l'outil « Check MX » pour vérifier vos enregistrements DNS sur les domaines Google Workspace.
• En-têtes d'email : envoyez-vous un email et inspectez les en-têtes. Recherchez « spf=pass », « dkim=pass » et « dmarc=pass » dans les résultats d'authentification.

Les bonnes pratiques d'authentification

• Un seul enregistrement SPF. Un enregistrement SPF par domaine. Regroupez tous les « include » dans cet enregistrement unique.
• Ajouter votre outil de prospection. Si vous utilisez une plateforme de cold email qui envoie via ses propres serveurs, vous devez inclure son SPF et configurer son DKIM. Consultez la documentation de la plateforme.
• Passer progressivement à DMARC reject. Commencez par p=none pour surveiller avant d'appliquer. Cette progression protège vos emails légitimes si votre configuration présente le moindre problème.
• Un enregistrement SPF compact. SPF est limité à 10 requêtes DNS. Au-delà, SPF échoue. Utilisez des outils d'aplatissement SPF si vous atteignez cette limite.
• Vérifier après la configuration. La propagation DNS prend du temps et les fautes de frappe arrivent. Vérifiez toujours avec les outils ci-dessus avant d'envoyer le moindre email.

La checklist d'authentification

Avant de passer au chapitre suivant, vérifiez chacun de ces points :

• L'enregistrement SPF est publié avec les bons « include » pour votre fournisseur de messagerie
• DKIM est généré et activé pour votre domaine
• DMARC est réglé sur p=none avec une adresse email de rapport
• MXToolbox affiche du vert pour les trois enregistrements
• Un email de test envoyé à mail-tester.com obtient 9/10 ou plus
• Les en-têtes d'email affichent spf=pass, dkim=pass, dmarc=pass

Avec l'authentification en place, vos emails disposent d'une identité vérifiée. Le prochain chapitre traite de la configuration des domaines : choisir, enregistrer et configurer les domaines que vous utiliserez pour la prospection à froid.