Configurer SPF, DKIM et DMARC : Le guide ultime pour sécuriser vos emails et améliorer la délivrabilité
Dans un monde où les cybermenaces et les attaques par phishing ne cessent de se multiplier, la sécurité de vos communications par email devient une priorité absolue. Les protocoles SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting & Conformance) forment une triade essentielle pour authentifier vos messages, protéger votre réputation et garantir leur arrivée dans la boîte de réception de vos destinataires. Sans ces mécanismes, vos emails risquent d’être marqués comme spam, rejetés ou pire, utilisés pour usurper votre identité.
Mais comment les configurer correctement ? Quels sont les pièges à éviter ? Et comment ces protocoles interagissent-ils pour renforcer votre sécurité ? Ce guide complet vous explique, étape par étape, comment mettre en place SPF, DKIM et DMARC pour sécuriser vos campagnes emailing, améliorer votre taux de livraison et renforcer la confiance de vos clients et partenaires.
Pourquoi SPF, DKIM et DMARC sont indispensables pour vos emails
Les risques d’une configuration email non sécurisée
Chaque jour, des millions d’emails frauduleux sont envoyés en utilisant des adresses usurpées. Les cybercriminels exploitent cette faille pour envoyer des phishing attacks, des emails de spam ou des arnaques au CEO fraud, mettant en danger la réputation de votre entreprise et la confiance de vos clients. Sans authentification, les fournisseurs de messagerie (Gmail, Outlook, Yahoo, etc.) n’ont aucun moyen de vérifier que l’email provient bien de votre domaine.
Résultat ? Vos messages légitimes finissent souvent dans le dossier spam, voire sont bloqués. Pire encore, si un pirate envoie des emails en votre nom, votre domaine pourrait être blacklisté, ce qui aurait des conséquences désastreuses sur votre activité.
Comment SPF, DKIM et DMARC fonctionnent ensemble
Ces trois protocoles forment un système de vérification en couches pour authentifier vos emails. Voici leur rôle respectif :
- SPF (Sender Policy Framework) : Il indique aux serveurs de messagerie quels serveurs sont autorisés à envoyer des emails pour votre domaine. C’est une liste blanche des IP et noms de domaine légitimes.
- DKIM (DomainKeys Identified Mail) : Il ajoute une signature cryptographique à vos emails, prouvant qu’ils n’ont pas été altérés en cours de route. Le destinataire peut vérifier cette signature via une clé publique publiée dans votre DNS.
- DMARC (Domain-based Message Authentication, Reporting & Conformance) : Il s’appuie sur SPF et DKIM pour définir une politique de traitement des emails qui échouent à l’authentification (rejeter, mettre en quarantaine ou accepter). Il fournit aussi des rapports pour analyser les tentatives d’usurpation.
Ensemble, ces protocoles créent une barrière solide contre le spam et le phishing, tout en améliorant la délivrabilité de vos emails marketing et transactionnels.
Configurer SPF : La première ligne de défense contre l’usurpation d’identité
Qu’est-ce que SPF et comment fonctionne-t-il ?
SPF est un enregistrement DNS de type TXT qui liste les serveurs autorisés à envoyer des emails pour votre domaine. Lorsqu’un serveur de messagerie reçoit un email, il vérifie si l’IP source est présente dans cet enregistrement. Si ce n’est pas le cas, l’email peut être rejeté ou marqué comme spam.
Étapes pour configurer SPF correctement
Voici comment créer et publier un enregistrement SPF pour votre domaine :
- Identifier tous les services envoyant des emails pour votre domaine
- Votre serveur de messagerie (ex : SendGrid, Mailchimp, Amazon SES)
- Votre serveur de messagerie interne (si vous utilisez un CRM comme HubSpot ou Salesforce)
- Les outils d’emailing que vous utilisez (ex : Brevo, ActiveCampaign)
- Les services cloud (ex : Microsoft 365, Google Workspace)
- Créer l’enregistrement SPF
L’enregistrement SPF doit commencer par
v=spf1et se terminer par~all(pour une politique souple) ou-all(pour une politique stricte). Voici un exemple générique :v=spf1 include:_spf.google.com include:sendgrid.net include:amazonses.com ~allExplications :
v=spf1: Version du protocole SPF.include:_spf.google.com: Autorise les serveurs de Google si vous utilisez Gmail.include:sendgrid.net: Autorise SendGrid si vous l’utilisez pour vos campagnes.~all: Les emails non autorisés seront marqués comme suspects (mais pas rejetés).-all: Les emails non autorisés seront rejetés (politique plus stricte).
- Publier l’enregistrement SPF dans votre DNS
Connectez-vous à votre registrar (OVH, Gandi, Cloudflare, etc.) et ajoutez un enregistrement TXT pour votre domaine avec la valeur SPF. Par exemple :
Type : TXT Nom : @ (ou votre domaine) Valeur : v=spf1 include:_spf.google.com ~all - Vérifier la configuration SPF
Utilisez des outils comme MXToolbox SPF Checker ou dmarcian pour valider votre enregistrement.
Bonnes pratiques et erreurs à éviter avec SPF
Voici quelques conseils pour optimiser votre configuration SPF :
- Ne dépassez pas 10 recherches DNS : SPF limite le nombre de requêtes DNS à 10 pour éviter les boucles infinies. Si vous utilisez plusieurs services, regroupez-les avec des
includeplutôt que desaoumx. - Évitez les politiques trop strictes au début : Commencez avec
~all(soft fail) avant de passer à-all(hard fail) une fois que vous êtes sûr que tous vos services sont correctement configurés. - Ne mélangez pas SPF avec DMARC trop tôt : Attendez d’avoir une configuration SPF stable avant de configurer DMARC.
- Surveillez les rapports SPF : Certains services envoient des rapports d’échec que vous pouvez analyser pour ajuster votre configuration.
Configurer DKIM : Protéger l’intégrité de vos emails avec une signature cryptographique
Pourquoi DKIM est crucial pour la confiance des destinataires
Contrairement à SPF qui vérifie l’expéditeur, DKIM garantit que le contenu de l’email n’a pas été modifié pendant son transit. Il ajoute une signature numérique à chaque email, que le serveur du destinataire peut vérifier à l’aide d’une clé publique publiée dans votre DNS. Si la signature est valide, l’email est considéré comme authentique.
DKIM est particulièrement important pour les emails transactionnels (factures, confirmations de commande) et les newsletters, où l’intégrité du message est critique.
Comment générer et configurer une clé DKIM
La configuration de DKIM varie selon votre fournisseur d’email ou votre serveur de messagerie. Voici les étapes générales :
- Générer une paire de clés DKIM
La plupart des services email (SendGrid, Mailchimp, Amazon SES) ou outils comme OpenDKIM génèrent automatiquement une paire de clés (privée et publique). Par exemple :
Clé privée : Utilisée par votre serveur pour signer les emails. Clé publique : Publiée dans votre DNS sous forme d’enregistrement TXT. - Publier la clé publique dans votre DNS
L’enregistrement DKIM doit suivre un format spécifique, par exemple :
Nom : selector._domainkey.votredomaine.com Type : TXT Valeur : v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC... (clé publique)Le
selectorest un identifiant unique (souvent fourni par votre service email). - Configurer votre serveur ou service pour signer les emails
Si vous utilisez un service comme SendGrid, activez DKIM dans les paramètres du domaine. Si vous gérez votre propre serveur, configurez OpenDKIM ou un outil similaire pour signer les emails sortants.
- Vérifier la configuration DKIM
Utilisez des outils comme MXToolbox DKIM Checker ou dmarcian pour confirmer que votre clé est correctement publiée.
Résoudre les problèmes courants avec DKIM
Voici quelques erreurs fréquentes et leurs solutions :
- Erreur « DKIM signature verification failed »
- Vérifiez que la clé publique dans le DNS correspond à la clé privée utilisée pour signer.
- Assurez-vous que le
selectorest correct dans l’enregistrement DNS. - Vérifiez que votre service email est bien configuré pour signer les emails.
- Problèmes de délai de propagation DNS
- Attendez 24 à 48 heures pour que les modifications DNS se propagent.
- Vérifiez que vous n’avez pas d’erreur de syntaxe dans l’enregistrement TXT.
- DKIM non détecté par certains fournisseurs
- Certains serveurs de messagerie ignorent DKIM si SPF ou DMARC échoue.
- Assurez-vous que vos enregistrements SPF et DMARC sont correctement configurés.
Configurer DMARC : La politique qui renforce SPF et DKIM
Qu’est-ce que DMARC et pourquoi est-il indispensable ?
DMARC est un protocole qui permet de définir une politique pour les emails qui échouent à l’authentification SPF ou DKIM. Il indique aux serveurs de messagerie ce qu’il faut faire avec ces emails (rejeter, mettre en quarantaine ou accepter) et fournit des rapports détaillés pour analyser les tentatives d’usurpation.
Sans DMARC, même avec SPF et DKIM configurés, vous ne pouvez pas contrôler le traitement des emails frauduleux envoyés en votre nom.
Étapes pour configurer DMARC
Voici comment créer et publier un enregistrement DMARC pour votre domaine :
- Créer l’enregistrement DMARC
L’enregistrement DMARC est un enregistrement DNS de type TXT avec le préfixe
_dmarc. Voici un exemple de base :v=DMARC1; p=none; rua=mailto:votre-email@votredomaine.com; ruf=mailto:votre-email@votredomaine.com; sp=none; adkim=r; aspf=rExplications des balises :
v=DMARC1: Version du protocole.p=none: Politique pour les échecs d’authentification (none = aucun traitement spécial).rua=mailto:votre-email@votredomaine.com: Adresse pour recevoir les rapports agrégés (XML).ruf=mailto:votre-email@votredomaine.com: Adresse pour recevoir les rapports d’échec détaillés.sp=none: Politique pour les sous-domaines (identique àpdans cet exemple).adkim=r: Mode de conformité DKIM (r = relaxed, s = strict).aspf=r: Mode de conformité SPF (r = relaxed, s = strict).
- Publier l’enregistrement DMARC dans votre DNS
Ajoutez un enregistrement TXT pour
_dmarc.votredomaine.comavec la valeur ci-dessus. Par exemple :Type : TXT Nom : _dmarc Valeur : v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.com; ruf=mailto:dmarc@votredomaine.com; adkim=r; aspf=r - Choisir une politique progressive
Commencez toujours avec
p=nonepour surveiller les rapports sans bloquer les emails. Une fois que vous êtes sûr que SPF et DKIM sont correctement configurés, passez àp=quarantine(mettre en quarantaine) puisp=reject(rejeter). - Analyser les rapports DMARC
Les rapports DMARC (fournis par
rua) contiennent des données sur les emails envoyés en votre nom. Utilisez des outils comme dmarcian ou MXToolbox pour les analyser et ajuster votre configuration.
Politiques DMARC avancées : Quand et comment les utiliser
Voici quelques politiques DMARC plus avancées pour renforcer votre sécurité :
- Politique stricte pour les sous-domaines
Si vous utilisez des sous-domaines (ex : newsletter.votredomaine.com), vous pouvez appliquer une politique différente avec
sp=rejecttout en gardantp=nonepour le domaine principal.v=DMARC1; p=none; sp=reject; rua=mailto:dmarc@votredomaine.com; adkim=s; aspf=s - Mode strict pour SPF et DKIM
En mode strict (
adkim=setaspf=s), l’alignement des domaines doit être exact. Cela réduit les faux positifs mais peut nécessiter des ajustements dans vos configurations SP