À retenir
- SPF autorise des serveurs, DKIM signe les messages et DMARC vérifie l’alignement avec le domaine visible avant d’appliquer une politique.
- Commencez par recenser tous les services qui envoient au nom du domaine : messagerie, site, devis, newsletter, CRM et outils métiers.
- Ne passez pas directement à une politique DMARC de rejet : observez d’abord les rapports et corrigez les expéditeurs légitimes.
Le rôle de SPF, DKIM et DMARC
| Mécanisme | Ce qu’il vérifie | Ce qu’il ne fait pas seul |
|---|---|---|
| SPF | Le serveur est-il autorisé à envoyer pour un domaine technique ? | Il ne garantit pas l’alignement avec l’adresse visible. |
| DKIM | Une signature cryptographique valide-t-elle le message et son domaine ? | Une signature valide n’impose pas à elle seule une politique. |
| DMARC | SPF ou DKIM passe-t-il avec un domaine aligné sur l’expéditeur visible ? | Il dépend d’une configuration correcte en amont. |
DMARC ajoute aussi des rapports qui montrent quelles sources utilisent le domaine. C’est ce retour qui permet de renforcer la politique sans couper un service oublié.
1. Inventorier tous les expéditeurs
Listez la messagerie principale, le formulaire WordPress, l’outil de devis, la newsletter, le CRM, les factures, les sauvegardes, les alertes serveur et tout logiciel qui envoie une notification. Pour chaque source, notez le domaine visible, le domaine de retour, la signature DKIM et le responsable du compte.
Cette étape est souvent plus longue que l’écriture des enregistrements DNS. Un service oublié peut fonctionner depuis des années et disparaître soudainement lorsque la politique devient stricte.
Exportez la zone existante, identifiez qui peut revenir en arrière et choisissez un moment où les envois peuvent être contrôlés. Une erreur peut affecter plusieurs services simultanément.
2. Construire un enregistrement SPF unique
Le SPF est publié en DNS au format TXT. Il doit représenter les sources autorisées sans multiplier plusieurs enregistrements SPF sur le même domaine. Suivez la documentation de chaque fournisseur et retirez les services qui ne sont plus utilisés.
Le standard limite le nombre de recherches DNS déclenchées par l’évaluation SPF ; Google rappelle une limite de dix. Empiler des mécanismes include sans contrôle peut donc produire une erreur permanente. Utilisez un outil de validation et surveillez le résultat réel.
3. Activer DKIM chez chaque fournisseur
DKIM ajoute une signature au message. Le fournisseur génère généralement une clé privée et demande de publier une clé publique dans le DNS sous un sélecteur donné. Activez la signature, puis envoyez un message de test et examinez ses en-têtes.
Lorsque plusieurs services envoient des messages, chacun peut utiliser son propre sélecteur. Prévoyez la rotation des clés selon les capacités du fournisseur et supprimez les anciennes entrées seulement après la transition.
4. Déployer DMARC progressivement
Une politique initiale d’observation, souvent p=none, permet de recevoir et d’analyser des rapports sans demander immédiatement la mise en quarantaine ou le rejet. Vérifiez quelles sources passent SPF ou DKIM avec un alignement correct.
Corrigez les expéditeurs légitimes, attendez un cycle représentatif puis renforcez par étapes, éventuellement sur une partie du trafic. Les politiques quarantine et reject ne deviennent sûres que lorsque l’inventaire et l’alignement sont maîtrisés.
Le domaine validé par SPF ou celui de la signature DKIM doit correspondre, selon les règles DMARC, au domaine que le destinataire voit dans l’adresse d’expédition. Réussir SPF sur un domaine technique différent peut ne pas suffire.
5. Tester, surveiller et maintenir
- Envoyer depuis chaque service vers plusieurs fournisseurs de messagerie.
- Contrôler dans les en-têtes les résultats SPF, DKIM et DMARC.
- Analyser les rapports agrégés avec un outil adapté, sans publier une adresse personnelle.
- Surveiller les taux d’échec avant chaque renforcement de politique.
- Mettre à jour l’inventaire lorsqu’un outil d’envoi est ajouté ou supprimé.
L’authentification réduit l’usurpation et améliore la confiance technique, mais elle ne garantit pas à elle seule l’arrivée en boîte principale. La réputation, le contenu, le consentement des destinataires et le taux de plaintes restent déterminants.
Sources officielles
Sécurisation du domaine
Besoin de déployer sans casser les envois ?
KG Solution peut inventorier les sources, vérifier l’alignement et préparer une montée en politique DMARC par étapes.
Faire vérifier le domaine arrow_forward