SPF, DKIM et DMARC sont trois enregistrements DNS qui répondent à une seule question pour chaque fournisseur de messagerie auquel vous envoyez : ce message provient-il vraiment de celui qu'il prétend être ? Configurez-les correctement et les fournisseurs feront suffisamment confiance à votre courrier pour l'envisager pour la boîte de réception. Configurez-les mal — ou faites-les l'impasse — et, depuis 2024, les grands fournisseurs le rejetteront de plus en plus purement et simplement. Voici le rôle de chacun, en termes simples.
La réponse en bref#
Les trois enregistrements se répartissent le travail de preuve de votre identité :
- SPF indique quels serveurs sont autorisés à envoyer du courrier au nom de votre domaine.
- DKIM ajoute une signature cryptographique prouvant que le message n'a pas été falsifié ni altéré en transit.
- DMARC relie les deux à l'adresse « From » visible, indique aux fournisseurs quoi faire lorsqu'un message échoue, et vous transmet des rapports.
Ensemble, ils permettent à un destinataire de confirmer que votre courrier est authentiquement le vôtre. Depuis les exigences imposées aux expéditeurs par Google et Yahoo en 2024, les expéditeurs en masse doivent disposer des trois — ce n'est plus facultatif. Mais l'authentification vous permet seulement d'être envisagé pour la boîte de réception ; la réputation et l'hygiène de liste décident si vous y atterrissez.
SPF : qui est autorisé à envoyer#
SPF (Sender Policy Framework) est un enregistrement TXT répertoriant les serveurs et services autorisés à envoyer du courrier en utilisant votre domaine. Lorsqu'un destinataire reçoit un message, il vérifie l'IP du serveur émetteur par rapport à votre enregistrement SPF :
example.com. TXT "v=spf1 include:_spf.google.com include:sendgrid.net ~all"
Le ~all à la fin est un soft-fail (accepter mais marquer comme suspect) ; -all
est un hard-fail (rejeter d'emblée les expéditeurs non autorisés). Chaque service
qui envoie en votre nom a besoin de son propre mécanisme include: dans cet
enregistrement, alors générez l'enregistrement SPF exact de votre fournisseur
plutôt que de modifier la chaîne à la main. Un piège à connaître : SPF vérifie
l'expéditeur de l'enveloppe, pas le « From » visible, et il se casse lorsque le
courrier est transféré, car le serveur de transfert ne figure pas dans votre
enregistrement. Cette fragilité est précisément la raison pour laquelle DKIM et
DMARC existent à ses côtés.
DKIM : une signature qui prouve l'intégrité#
DKIM (DomainKeys Identified Mail) attache une signature cryptographique à chaque message. Votre système d'envoi signe le message avec une clé privée ; vous publiez la clé publique correspondante dans le DNS à un sélecteur nommé :
selector1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIGfMA0G..."
Le destinataire récupère la clé publique, vérifie la signature et apprend deux choses : le message provient réellement de votre domaine, et il n'a pas été altéré en transit. Contrairement à SPF, une signature DKIM voyage avec le message, si bien qu'elle survit généralement au transfert — ce qui en fait la plus robuste des deux vérifications.
DMARC : la politique qui relie le tout#
DMARC (Domain-based Message Authentication, Reporting and Conformance) est l'enregistrement qui donne du sens à SPF et DKIM. Il fait trois choses : il définit une politique pour les messages qui échouent, il exige un alignement entre le domaine authentifié et le « From » visible, et il vous envoie des rapports.
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"
La valeur p est l'instruction donnée aux destinataires :
p=none— surveillance seulement ; ne prendre aucune mesure, juste envoyer des rapports. Commencez ici.p=quarantine— envoyer le courrier en échec vers les spams.p=reject— refuser d'emblée le courrier en échec.
L'alignement est la partie qui stoppe le spoofing : un message réussit DMARC
uniquement si le domaine qui a réussi SPF ou DKIM correspond au domaine dans
l'en-tête « From ». SPF et DKIM devraient tous deux être configurés, mais un seul
doit s'aligner. Commencez à p=none, lisez les rapports agrégés jusqu'à ce que
vous soyez certain que chaque flux légitime s'authentifie, puis resserrez vers
quarantine et finalement reject.
Pourquoi c'est désormais obligatoire#
L'authentification était autrefois une bonne pratique ; depuis 2024, c'est une
barrière. Selon les exigences de Google pour les expéditeurs,
quiconque envoie à Gmail a besoin d'au moins SPF ou DKIM et doit maintenir son
taux de spam dans Postmaster Tools en dessous de 0,3 %, et les expéditeurs
en masse — plus de 5 000 messages par jour vers Gmail — doivent disposer de SPF,
DKIM et DMARC (avec alignement), plus une désinscription en un clic sur le
courrier marketing. Yahoo a introduit des exigences équivalentes au même moment,
et Google renforce l'application des règles — y compris des rejets pour le courrier
non conforme — depuis la fin 2025. Requirements above last verified against Google's guidelines, July 2026.
L'enseignement pratique : si vous envoyez du courrier marketing ou transactionnel, quel qu'en soit le volume, les trois enregistrements sont désormais le minimum requis, et non un simple plus.
L'authentification n'est pas la délivrabilité#
Voici la limite en toute honnêteté, car elle piège les gens. Réussir SPF, DKIM et DMARC prouve qui vous êtes — cela ne prouve pas que vous êtes un bon expéditeur. Un message parfaitement authentifié provenant d'un domaine avec une mauvaise réputation d'expéditeur, une liste remplie de pièges à spam, ou un taux de rebond qui grimpe atterrira quand même dans les spams. Les fournisseurs vérifient d'abord l'authentification — pas de confiance sans elle — puis pèsent la réputation et l'engagement pour décider du placement.
Considérez donc l'authentification comme le ticket d'entrée, pas comme la partie entière. Configurez correctement les trois enregistrements, puis faites le travail qui gagne réellement la boîte de réception : vérifiez votre liste pour ne pas envoyer à des adresses mortes, maintenez les rebonds et les plaintes à un niveau bas, et écrivez à des personnes qui veulent recevoir votre courrier. Le guide de la délivrabilité couvre les autres leviers.
Foire aux questions#
Ai-je besoin des trois : SPF, DKIM et DMARC ?#
Pour tout volume d'envoi réel, oui. Depuis 2024, Google et Yahoo exigent SPF ou DKIM de la part de chaque expéditeur, et les trois de la part des expéditeurs en masse (5 000 messages par jour ou plus) ; DMARC est ce qui rend les deux autres opposables au spoofing. Même en dessous du seuil d'envoi en masse, disposer des trois est désormais le minimum que les fournisseurs attendent.
Quelle est la différence entre SPF et DKIM ?#
SPF autorise quels serveurs peuvent envoyer au nom de votre domaine et est vérifié par rapport à l'IP émettrice ; DKIM signe cryptographiquement le message afin qu'un destinataire puisse confirmer qu'il vient bien de vous et n'a pas été altéré. SPF est plus simple mais se casse lors des transferts ; DKIM voyage avec le message et y survit. Ils couvrent des modes de défaillance différents, c'est pourquoi vous voulez les deux.
Que signifie DMARC p=none, et est-ce suffisant ?#
p=none indique aux destinataires de ne prendre aucune mesure sur les messages en
échec et de simplement vous envoyer des rapports — c'est le point de départ sûr
pour la surveillance, mais il n'offre aucune protection contre le spoofing. C'est
une première étape, pas une destination : utilisez les rapports pour confirmer que
votre courrier légitime s'authentifie, puis passez à p=quarantine et p=reject
pour appliquer réellement la politique.
Réussir l'authentification garantit-il que mon e-mail atteint la boîte de réception ?#
Non. L'authentification est nécessaire mais pas suffisante. Elle prouve votre identité, ce qui permet à votre courrier d'être pris en considération — mais le placement est décidé par la réputation d'expéditeur, l'engagement, les taux de plaintes et la qualité de la liste. Un expéditeur parfaitement authentifié avec une liste sale ou une mauvaise réputation atterrit quand même dans les spams.
L'authentification vous mène jusqu'à la porte ; l'hygiène de liste vous aide à la franchir. Le vérificateur d'e-mails gratuit détecte les domaines morts et les fautes de frappe avant qu'ils ne provoquent des rebonds, et le forfait gratuit exécute le pipeline de vérification complet sur votre liste — car ce sont des listes propres et de faibles taux de rebond qui transforment une identité de confiance en placement dans la boîte de réception.
