Configurer SPF, DKIM et DMARC pour vos emails pro

Quand vous envoyez un email avec votre propre nom de domaine (contact@votre-entreprise.fr), les boîtes de réception vérifient que le message vient bien de vous. Trois réglages DNS le leur permettent : SPF, DKIM et DMARC. Voici comment les mettre en place, sans jargon inutile.

Avant de commencer

Il vous faut :

• l’accès à la zone DNS de votre nom de domaine (chez votre registrar ou votre hébergeur) ;
• le nom de votre service de messagerie (celui qui envoie vos emails) : il vous donne les valeurs à copier ;
• environ vingt minutes, plus le temps de propagation du DNS.

Pour savoir où vous en êtes, lancez d’abord le vérificateur d’email pro : il vous montre ce qui est déjà en place.

1. SPF : lister vos expéditeurs

Le SPF est un enregistrement de type TXT, publié à la racine de votre domaine. Il commence par v=spf1 et se termine par une règle finale.

Exemple, pour un service de messagerie qui vous donne la valeur include:spf.exemple-messagerie.com :

v=spf1 include:spf.exemple-messagerie.com ~all

Points d’attention :

• Un seul enregistrement SPF par domaine. Si vous utilisez plusieurs services (messagerie, newsletter, facturation), ajoutez leurs include: dans le même enregistrement.
• La règle finale ~all signale les expéditeurs non listés comme suspects ; -all les refuse. Commencez par ~all, puis passez à -all quand vous êtes sûr d’avoir listé tous vos expéditeurs.
• Le SPF est limité à 10 résolutions DNS (RFC 7208) : n’empilez pas les include: sans nécessité.

2. DKIM : signer vos messages

Votre service de messagerie génère une paire de clés : il garde la clé privée pour signer, et vous donne la clé publique à publier dans votre DNS. L’enregistrement porte un nom de la forme selecteur._domainkey.votre-domaine.fr, où le sélecteur est choisi par le service (par exemple google ou selector1).

Selon les services, vous devrez créer :

• un enregistrement TXT dont la valeur commence par v=DKIM1;, ou
• un enregistrement CNAME qui pointe vers une valeur qu’ils hébergent.

Copiez exactement ce que votre service vous indique, sans retirer ni ajouter d’espace, puis activez la signature dans son interface si elle ne l’est pas par défaut.

3. DMARC : dire quoi faire en cas d’échec

Le DMARC est un enregistrement TXT publié sur le nom _dmarc.votre-domaine.fr. Pour démarrer prudemment :

v=DMARC1; p=none; rua=mailto:dmarc@votre-entreprise.fr

• p=none : ne rien bloquer, seulement observer.
• rua= : l’adresse qui reçoit les rapports quotidiens. Utilisez une adresse que vous consultez, ou un service d’analyse de rapports.

Après quelques semaines, une fois que vos expéditeurs légitimes passent bien le SPF et le DKIM, vous pourrez passer à p=quarantine (les messages suspects vont en spam) puis à p=reject (ils sont refusés).

4. Vérifier le résultat

Les modifications DNS ne sont pas toujours visibles tout de suite. Patientez quelques minutes, parfois quelques heures, puis relancez le vérificateur d’email pro.

Si le DKIM apparaît comme « non déterminé », c’est probablement que votre sélecteur n’est pas parmi les plus courants : ouvrez un email reçu depuis votre domaine, affichez ses en-têtes, repérez la ligne DKIM-Signature et notez la valeur du champ s=. Saisissez-la dans les options avancées de l’outil.

Et si vous n’avez pas encore de messagerie professionnelle ?

Ces réglages sont fournis par le service qui héberge vos emails. Si vous cherchez une solution, nos comparatifs d’offres de messagerie arrivent bientôt ; en attendant, vous pouvez consulter la fiche de Proton ou celle d’Infomaniak.