Vos factures atterrissent dans les spams de vos clients ? Un fournisseur vous signale avoir reçu un e-mail suspect qui semblait venir de chez vous ? Ces situations ont souvent une origine commune : un nom de domaine dont la messagerie n'est pas correctement authentifiée. Trois mécanismes, SPF, DKIM et DMARC, permettent de régler ce problème. Leurs noms sont techniques, mais leur rôle se comprend facilement, et tout dirigeant de PME a intérêt à savoir s'ils sont en place.
Pourquoi l'e-mail a besoin d'être authentifié
Le protocole de messagerie a été conçu à une époque où l'on ne se méfiait pas des expéditeurs. Techniquement, n'importe qui peut envoyer un message en indiquant comme expéditeur une adresse à votre nom de domaine. Les cybercriminels exploitent cette faiblesse pour des tentatives d'hameçonnage ou de fraude au paiement : un faux e-mail du « comptable » demandant de modifier un numéro de compte, une fausse facture envoyée à vos clients.
Les grands fournisseurs de messagerie ont donc renforcé leurs contrôles. Google et Yahoo, par exemple, exigent depuis 2024 que les expéditeurs de grands volumes authentifient leurs messages, et les filtres anti-spam tiennent de plus en plus compte de ces mécanismes pour tous les expéditeurs. Un domaine mal configuré voit sa délivrabilité se dégrader, même pour des e-mails parfaitement légitimes.
SPF : la liste des serveurs autorisés
Le SPF (Sender Policy Framework) est un enregistrement publié dans la zone DNS de votre domaine. Il indique quels serveurs ont le droit d'envoyer des e-mails en votre nom : par exemple Microsoft 365 ou Google Workspace, votre outil d'e-mailing, votre logiciel de facturation ou votre CRM.
Lorsqu'un serveur reçoit un message prétendant venir de votre domaine, il consulte cette liste. Si l'expéditeur n'y figure pas, le message devient suspect. Deux points d'attention : il ne doit exister qu'un seul enregistrement SPF par domaine, et celui-ci est limité à dix consultations DNS imbriquées. Un SPF qui accumule les services au fil des ans peut dépasser cette limite et cesser de fonctionner correctement.
DKIM : la signature numérique
Le DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque message envoyé. Votre service de messagerie signe les e-mails avec une clé privée, et la clé publique correspondante est publiée dans votre DNS. Le destinataire peut ainsi vérifier que le message provient bien d'un système autorisé et qu'il n'a pas été modifié en chemin.
Chaque service qui envoie des e-mails en votre nom devrait disposer de sa propre signature DKIM. Avec Microsoft 365 ou Google Workspace, l'activation se fait depuis la console d'administration, après publication des enregistrements fournis.
DMARC : la règle du jeu et les rapports
Le DMARC (Domain-based Message Authentication, Reporting and Conformance) s'appuie sur les deux précédents. Il dit aux serveurs destinataires ce qu'ils doivent faire d'un message qui échoue aux contrôles, et vérifie que le domaine authentifié correspond bien à celui que voit le lecteur. Trois politiques sont possibles :
- p=none : on observe, sans bloquer. C'est la phase de démarrage.
- p=quarantine : les messages non conformes sont envoyés en courrier indésirable.
- p=reject : les messages non conformes sont refusés.
DMARC permet aussi de recevoir des rapports réguliers indiquant quels serveurs envoient des e-mails à votre nom. C'est précieux pour découvrir un outil oublié, ou au contraire une tentative d'usurpation.
La démarche recommandée
- Inventorier tous les services qui envoient des e-mails avec votre domaine : messagerie, site web, boutique en ligne, facturation, newsletter, scanner multifonction, logiciel métier.
- Configurer SPF et DKIM pour chacun d'eux.
- Publier un DMARC en mode observation et analyser les rapports pendant quelques semaines.
- Corriger les sources légitimes qui échouent encore.
- Durcir progressivement la politique vers quarantine, puis reject.
Pensez également aux domaines que vous possédez mais n'utilisez pas pour envoyer des e-mails : une politique stricte les protège contre une utilisation frauduleuse. Pour aller plus loin, notre page sur la messagerie professionnelle et les noms de domaine détaille notre accompagnement.
SPF, DKIM et DMARC ne remplacent pas la vigilance des utilisateurs, que la sensibilisation aide à développer. Mais ils constituent une protection de base, peu coûteuse à mettre en place, qui améliore à la fois la sécurité de vos partenaires et la fiabilité de vos propres envois.
