SPF, DKIM, DMARC : sécuriser sa messagerie et son nom de domaine

Vos devis finissent dans les courriers indésirables de vos clients ? Ou pire, quelqu'un envoie des messages en se faisant passer pour votre entreprise ? Ce guide s'adresse aux dirigeants de TPE, artisans, commerçants, indépendants et associations qui utilisent une adresse à leur nom, par exemple contact@votre-entreprise.fr. Vous y comprendrez, sans jargon, à quoi servent SPF, DKIM et DMARC, ce que Gmail et Yahoo exigent des expéditeurs depuis 2024, et comment protéger votre nom de domaine lui-même.

Pourquoi c'est important

Dans un courriel, l'adresse de l'expéditeur est aussi facile à falsifier que l'adresse au dos d'une enveloppe. Sans protection, n'importe qui peut envoyer un message qui semble venir de votre domaine : fausse facture à vos clients, faux changement de RIB. Les grandes messageries le savent : elles se méfient des domaines non protégés et classent plus volontiers leurs messages en indésirables.

Trois réglages à publier

Trois réglages, ajoutés dans la zone DNS de votre domaine, règlent l'essentiel. La zone DNS, c'est l'annuaire de votre nom de domaine, que l'on modifie chez votre bureau d'enregistrement ou votre hébergeur.

SPF : la liste des expéditeurs autorisés

SPF est une ligne de texte publiée sur votre domaine qui dit : « seuls ces serveurs ont le droit d'envoyer des courriels en mon nom ». Elle doit mentionner tous les services qui envoient pour vous : votre messagerie, mais aussi votre logiciel de facturation, votre outil de lettre d'information, votre site internet.

• Il ne doit y avoir qu'une seule ligne SPF par domaine.
• Un oubli fait échouer les envois du service oublié.
• Faites-vous confirmer la valeur exacte par chacun de vos services.

DKIM : la signature de vos messages

DKIM ajoute à chaque courriel une signature invisible, comme un cachet de cire. Le destinataire vérifie ce cachet grâce à une clé publiée dans votre zone DNS. Si le message a été modifié ou s'il ne vient pas de chez vous, la vérification échoue. Votre fournisseur de messagerie vous indique la valeur à publier, ou l'active pour vous.

DMARC : la consigne en cas d'échec

DMARC dit aux messageries quoi faire d'un message qui prétend venir de chez vous mais échoue aux contrôles, et vous permet de recevoir des rapports. Il existe trois niveaux :

1. « none » : ne rien bloquer, simplement observer et envoyer des rapports. C'est le point de départ.
2. « quarantine » : placer les messages suspects dans les indésirables.
3. « reject » : les refuser purement et simplement.

Commencez par « none », lisez les rapports pendant quelques semaines pour repérer les services légitimes oubliés, puis montez progressivement le niveau. Passer directement à « reject » risque de bloquer vos propres factures.

Ce que Gmail et Yahoo exigent depuis 2024

Depuis février 2024, Gmail et Yahoo appliquent des règles plus strictes aux expéditeurs. Pour tous les expéditeurs :

• le domaine doit être authentifié par SPF ou DKIM ;
• les envois doivent passer par une connexion chiffrée ;
• les serveurs d'envoi doivent être correctement déclarés dans le DNS ;
• le taux de plaintes pour courrier indésirable doit rester faible.

Pour les expéditeurs qui envoient beaucoup de messages, Google fixe le seuil à environ 5 000 par jour vers des adresses Gmail, les exigences vont plus loin : SPF et DKIM tous deux en place, un enregistrement DMARC publié, et pour les envois commerciaux un lien de désinscription en un clic, traité rapidement. Microsoft a annoncé des règles comparables en 2025 pour ses messageries grand public. Les détails évoluent : vérifiez les consignes à jour dans l'aide Google pour les expéditeurs.

Même si vous envoyez peu de messages, mettez en place les trois réglages : c'est la meilleure garantie que vos devis arrivent à destination.

Pour vérifier, envoyez-vous un courriel sur une adresse Gmail, ouvrez-le, puis choisissez « Afficher l'original » dans le menu du message : les mentions SPF, DKIM et DMARC doivent indiquer « PASS ».

Protéger le nom de domaine lui-même

Votre nom de domaine porte votre site et toute votre messagerie. Le perdre, c'est perdre les deux.

• Activez le renouvellement automatique et vérifiez que le moyen de paiement enregistré est valide.
• Gardez à jour l'adresse de contact du titulaire, sur une boîte que vous consultez, idéalement hors du domaine lui-même.
• Vérifiez que le domaine est enregistré au nom de votre entreprise, et non à celui d'un ancien prestataire.
• Activez la double authentification sur le compte de votre bureau d'enregistrement.
• Activez le verrouillage contre les transferts non autorisés, souvent proposé gratuitement.
• Méfiez-vous des courriers et courriels de « renouvellement » envoyés par des sociétés inconnues.

La liste à cocher

• Un seul enregistrement SPF liste tous vos services d'envoi.
• DKIM est activé pour votre messagerie et vos outils d'envoi.
• Un enregistrement DMARC est publié, au minimum en mode « none ».
• Vous lisez les rapports DMARC avant de durcir la consigne.
• Le test « Afficher l'original » dans Gmail indique PASS partout.
• Le renouvellement automatique du domaine est activé.
• Le compte du bureau d'enregistrement est protégé par la double authentification.

Pour un premier aperçu de votre site, le diagnostic gratuit du Labo IA est à votre disposition. Si vous voulez qu'on regarde ensemble la configuration de votre messagerie, un échange sans engagement est possible sur /rendez-vous.

Questions fréquentes