SPF, DKIM et DMARC : définitions et rôle de chacun

SPF, DKIM et DMARC sont trois enregistrements DNS qui prouvent qu'un e-mail envoyé avec votre nom de domaine vient bien de vous. SPF liste les serveurs autorisés à envoyer, DKIM signe chaque message, DMARC indique au destinataire quoi faire quand la vérification échoue — et vous envoie des rapports. Depuis le 1er février 2024, Gmail exige au moins l'un des deux premiers de tous les expéditeurs.

SPF : qui a le droit d'envoyer

Le SPF (Sender Policy Framework) est défini par la RFC 7208. Il permet au propriétaire d'un domaine d'« explicitly authorize the hosts that are allowed to use their domain names », et au serveur qui reçoit le message de vérifier cette autorisation (RFC 7208).

Concrètement, c'est un enregistrement TXT qui commence par v=spf1 et liste vos expéditeurs : votre messagerie, votre outil de newsletter, votre CRM.

Le piège classique est la limite des 10 requêtes DNS. Les mécanismes include, a, mx, ptr, exists et le modificateur redirect déclenchent chacun une requête, et la norme impose de s'arrêter à 10 : au-delà, la vérification renvoie une erreur permanente (permerror). Chaque nouvel outil SaaS ajoute un include… et un jour, sans que rien n'ait changé côté envoi, vos e-mails échouent au SPF.

DKIM : une signature sur chaque message

Le DKIM (DomainKeys Identified Mail), défini par la RFC 6376, « permits a person, role, or organization that owns the signing domain to claim some responsibility for a message by associating the domain with the message » (RFC 6376).

Le serveur d'envoi ajoute un en-tête DKIM-Signature à chaque message. La clé publique qui permet de vérifier cette signature est publiée dans le DNS, sous un sous-domaine nommé _domainkey : pour un sélecteur s1 sur example.com, la requête porte sur s1._domainkey.example.com. Si le message est modifié en route, la signature ne correspond plus.

DMARC : la règle et les rapports

DMARC relie les deux premiers à l'adresse que voit votre destinataire. La norme de référence est désormais la RFC 9989, publiée en 2026 sur la voie des standards Internet, qui rend obsolète la RFC 7489 de 2015 (une RFC informationnelle) (RFC 9989).

Deux idées à retenir :

L'alignement. Pour que DMARC passe, il ne suffit pas qu'SPF ou DKIM réussisse : le domaine qui a réussi doit être « aligné » avec le domaine de l'auteur — celui de l'en-tête From —, soit en mode strict (identique), soit en mode souple (même domaine organisationnel).

La politique. L'enregistrement DMARC exprime ce que vous souhaitez quand la vérification échoue :

• none : aucune préférence exprimée — on observe ;
• quarantine : le message est jugé suspect ;
• reject : l'échec est un signe clair que l'usage du domaine n'est pas légitime.

DMARC permet aussi de demander des rapports : les rapports agrégés (RFC 9990) et les rapports d'échec (RFC 9991). Ce sont eux qui vous montrent qui envoie des e-mails en votre nom.

Ce qu'exige Gmail

Les règles de Google pour les expéditeurs s'appliquent depuis le 1er février 2024 (Google, Email sender guidelines) :

• Tous les expéditeurs : SPF ou DKIM, un taux de spam signalé dans Postmaster Tools inférieur à 0,3 %, une connexion TLS.
• Plus de 5 000 messages par jour vers Gmail : SPF et DKIM, un enregistrement DMARC (la politique peut être none), un From aligné avec le domaine SPF ou DKIM, et, pour les e-mails marketing, la désinscription en un clic avec un lien visible dans le message.

Dans quel ordre les mettre en place

1. SPF : listez tous vos expéditeurs réels, en surveillant la limite de 10 requêtes.
2. DKIM : activez la signature dans chaque outil qui envoie en votre nom.
3. DMARC en none avec des rapports : observez quelques semaines qui envoie quoi.
4. Passez ensuite à quarantine, puis à reject, une fois que tous les envois légitimes sont alignés.

Sauter l'étape d'observation est la façon la plus sûre de bloquer vos propres factures ou votre newsletter.