SPF, DKIM et DMARC : authentifier vos e-mails pas à pas

Mis à jour le 23 septembre 2026

Sans ces trois enregistrements DNS, les messages envoyés depuis votre domaine sont suspects aux yeux de Gmail, Outlook ou Yahoo, et n'importe qui peut se faire passer pour vous. Voici comment les mettre en place sans rien casser.

À quoi servent ces trois mécanismes

Mécanisme	Ce qu'il prouve	Où il se trouve
SPF	Le serveur qui envoie a le droit d'envoyer pour ce domaine	Enregistrement TXT à la racine du domaine
DKIM	Le message n'a pas été modifié et vient bien du domaine qui l'a signé	Enregistrement TXT `selecteur._domainkey.domaine`
DMARC	Ce que le destinataire doit faire si SPF et DKIM échouent, et à qui envoyer les rapports	Enregistrement TXT `_dmarc.domaine`

Depuis 2024, Gmail et Yahoo exigent SPF, DKIM et DMARC pour les expéditeurs qui envoient en masse, et les appliquent de plus en plus strictement à tous. Un domaine sans authentification voit sa délivrabilité baisser.

Étape 1 : SPF

L'enregistrement SPF liste les serveurs autorisés. Exemple pour un domaine qui envoie via un fournisseur de messagerie et un outil de newsletter :

v=spf1 include:_spf.fournisseur.com include:envoi.newsletter.com ~all

Règles à respecter :

un seul enregistrement SPF par domaine : deux enregistrements v=spf1 rendent le SPF invalide. Fusionnez les include.
dix recherches DNS au maximum : chaque include, a ou mx compte. Au-delà, le SPF échoue.
**terminez par ~all** (échec « doux ») au début, puis par -all quand vous êtes sûr d'avoir listé tous les expéditeurs.
un domaine qui n'envoie jamais d'e-mail peut publier v=spf1 -all : personne ne pourra l'usurper.

Étape 2 : DKIM

DKIM signe chaque message avec une clé privée ; la clé publique est publiée dans le DNS. C'est votre fournisseur d'envoi qui génère la paire de clés : il vous donne le nom de l'enregistrement (par exemple s1._domainkey.exemple.com) et sa valeur, ou un CNAME à créer.

activez DKIM pour chaque service qui envoie en votre nom : messagerie, newsletter, facturation, boutique ;
préférez des clés de 2048 bits ;
une fois l'enregistrement publié, activez la signature dans l'interface du fournisseur, puis envoyez-vous un message et vérifiez l'en-tête DKIM-Signature et le résultat dkim=pass.

Étape 3 : DMARC, en trois temps

DMARC relie SPF et DKIM au domaine visible dans le champ « De ». Commencez en observation :

v=DMARC1; p=none; rua=mailto:dmarc@exemple.com

**p=none** pendant deux à quatre semaines : rien n'est bloqué, mais vous recevez des rapports qui listent tous les serveurs envoyant en votre nom. Vous découvrirez souvent un service oublié.
**p=quarantine** : les messages qui échouent partent en spam. Vous pouvez monter progressivement avec pct=25, puis 50, puis 100.
**p=reject** : les messages usurpés sont refusés. C'est la protection complète.

Les rapports sont des fichiers XML peu lisibles : un outil d'analyse DMARC, souvent gratuit pour de petits volumes, les résume en tableau.

Vérifier votre configuration

Avec notre outil de recherche DNS, interrogez les enregistrements TXT du domaine, de _dmarc.domaine et de selecteur._domainkey.domaine. Puis envoyez un message vers une boîte Gmail ou Outlook et affichez l'original : la ligne Authentication-Results doit indiquer spf=pass, dkim=pass et dmarc=pass.

Les erreurs les plus fréquentes

Deux enregistrements SPF après l'ajout d'un nouveau service.
Plus de dix recherches DNS dans le SPF, à force d'empiler les include.
DKIM activé pour la messagerie mais oublié pour l'outil de newsletter.
Passage direct à p=reject sans période d'observation : des messages légitimes sont bloqués.
Enregistrement DMARC créé sur le domaine lui-même au lieu de _dmarc.domaine.

Ouvrir les outils NetCheck

Questions fréquentes

SPF suffit-il sans DKIM ?

Non. SPF casse lors d'un transfert automatique, car le serveur qui retransmet n'est pas dans votre liste. DKIM survit au transfert. DMARC n'a besoin que de l'un des deux, aligné sur votre domaine, mais avoir les deux rend l'authentification fiable.

Combien de temps pour que les changements soient pris en compte ?

Le temps que le TTL des enregistrements expire, souvent de quelques minutes à une heure. Les rapports DMARC, eux, arrivent en général une fois par jour.

Faut-il DMARC si mon domaine n'envoie aucun e-mail ?

Oui : publiez v=spf1 -all et v=DMARC1; p=reject. Les escrocs ciblent justement les domaines non protégés pour envoyer du phishing en leur nom.