SPF, DKIM, DMARC : protéger votre domaine e-mail

Sans protection, n'importe qui peut envoyer un e-mail qui semble venir de votre adresse. Vos clients peuvent alors recevoir de fausses factures « de votre part ». SPF, DKIM et DMARC sont trois enregistrements publiés dans le DNS de votre domaine qui permettent aux serveurs destinataires de vérifier qu'un message est authentique.

SPF : qui a le droit d'envoyer

SPF publie la liste des serveurs autorisés à envoyer des e-mails pour votre domaine : Microsoft 365, l'outil de newsletter, le logiciel de facturation. Un seul enregistrement SPF est permis par domaine, et il ne doit pas dépasser dix consultations DNS, une limite vite atteinte quand les services s'accumulent.

DKIM : la signature du message

DKIM ajoute une signature cryptographique à chaque message envoyé. Le destinataire vérifie cette signature avec une clé publiée dans votre DNS : si le message a été modifié en route ou ne vient pas d'un service autorisé, la signature ne correspond pas. Chaque service qui envoie en votre nom doit avoir sa propre configuration DKIM.

DMARC : la règle à appliquer

DMARC indique aux destinataires quoi faire d'un message qui échoue aux vérifications : rien (none), le placer en indésirables (quarantine) ou le refuser (reject). DMARC demande aussi des rapports, qui montrent quels services envoient réellement au nom de votre domaine.

Déployer sans bloquer vos propres e-mails

• Faire l'inventaire de tout ce qui envoie au nom du domaine : messagerie, newsletter, CRM, facturation, formulaires du site web, ERP, imprimantes.
• Configurer SPF et DKIM pour chacun de ces services.
• Publier DMARC en mode « none » avec des rapports, et les analyser pendant quelques semaines.
• Passer en « quarantine », puis en « reject » une fois tous les envois légitimes alignés.
• Protéger aussi les domaines qui n'envoient jamais d'e-mails, avec une politique de refus.

Pourquoi s'en occuper maintenant

Les grands fournisseurs de messagerie exigent désormais ces mécanismes, en particulier pour les expéditeurs qui envoient des volumes importants. Sans eux, vos messages risquent davantage d'arriver en indésirables. Et surtout, une politique DMARC stricte empêche qu'on utilise directement votre domaine pour tromper vos clients et partenaires.