SPF, DKIM, DMARC : protéger vos e-mails contre l'usurpation

SPF — qui a le droit d'envoyer en mon nom

Le SPF (Sender Policy Framework) est une liste, publiée dans votre DNS, des serveurs autorisés à envoyer des e-mails pour votre domaine (votre messagerie, votre outil d'e-mailing, votre CRM…). Le serveur qui reçoit un message vérifie que l'expéditeur figure bien dans cette liste.

DKIM — la signature qui prouve l'origine

Le DKIM (DomainKeys Identified Mail) ajoute à chaque e-mail une signature cryptographique. Le serveur destinataire la vérifie avec une clé publique publiée dans votre DNS : il s'assure ainsi que le message vient bien de votre domaine et n'a pas été altéré en route.

DMARC — la politique qui décide quoi faire

Le DMARC (Domain-based Message Authentication) s'appuie sur SPF et DKIM et ajoute deux choses : une politique (que faire d'un message qui échoue aux contrôles — le laisser, le mettre en quarantaine, ou le rejeter) et des rapports qui vous remontent les tentatives d'usurpation.

Commencer en politique « none » (surveillance) permet d'observer les rapports sans bloquer, avant de durcir progressivement vers « quarantine » puis « reject ».

Pourquoi c'est aussi un sujet de conformité

Le RGPD impose une obligation de sécurité des traitements (article 32). Or un domaine usurpable facilite le hameçonnage de vos clients — donc la compromission de leurs données. Sécuriser ses e-mails, c'est réduire ce risque, en plus d'améliorer la délivrabilité de vos messages légitimes.

L'ampleur réelle du risque, en chiffres

• Selon l'ANSSI, plus de 80 % des cyberattaques débutent par un e-mail frauduleux — le vecteur d'attaque le plus fréquent, loin devant les autres.
• Cybermalveillance.gouv.fr a enregistré 108 000 demandes d'assistance liées au hameçonnage en 2025, en hausse de 70 % sur un an, et les demandes provenant d'entreprises (majoritairement des TPE/PME) ont augmenté de 73 %.
• L'usurpation d'identité (dirigeant, employé, société) fait partie des motifs de demande d'assistance en hausse, un scénario que SPF, DKIM et DMARC visent précisément à rendre plus difficile.

Comment vérifier votre configuration

Ces trois réglages vivent dans la zone DNS de votre domaine, chez votre bureau d'enregistrement (registrar) ou votre hébergeur. On les repère sous forme d'enregistrements TXT : un pour le SPF (commençant par « v=spf1 »), un ou plusieurs pour le DKIM (sur un sous-domaine dédié appelé sélecteur), et un pour le DMARC (sur « _dmarc.votre-domaine.fr »).

Une analyse automatisée de votre site interroge directement votre DNS et vous indique lesquels de ces trois enregistrements sont présents et cohérents. C'est le moyen le plus simple de savoir si votre domaine est protégé, sans manipuler vous-même des commandes techniques.

Dans quel ordre les mettre en place

• Commencer par SPF : lister tous les services qui envoient légitimement en votre nom (messagerie, e-mailing, CRM, facturation).
• Ajouter DKIM : activer la signature dans chaque outil d'envoi et publier la clé publique fournie dans votre DNS.
• Terminer par DMARC en politique « none » : observer les rapports quelques semaines sans rien bloquer.
• Durcir progressivement DMARC vers « quarantine » puis « reject » une fois sûr qu'aucun envoi légitime n'échoue.

Les erreurs de configuration les plus fréquentes

• Un enregistrement SPF trop permissif (mécanisme « +all ») qui autorise en réalité n'importe quel serveur à envoyer en votre nom — l'inverse de l'objectif recherché.
• Plusieurs enregistrements SPF distincts pour le même domaine : seul un enregistrement SPF est autorisé, il doit lister tous les expéditeurs légitimes en une fois.
• Un nouvel outil d'envoi (nouvel outil d'e-mailing, nouveau CRM) ajouté sans mettre à jour le SPF, ce qui fait échouer ses envois.
• Une politique DMARC durcie trop tôt, avant d'avoir vérifié dans les rapports que tous les expéditeurs légitimes passent bien SPF et DKIM.

Cas pratique : construire son enregistrement SPF avec plusieurs outils

Prenons une TPE qui envoie des e-mails depuis trois sources différentes : sa messagerie professionnelle, son outil d'e-mailing pour la newsletter, et son CRM pour les devis automatiques. Chacun de ces outils doit apparaître dans le même enregistrement SPF, sous forme d'un mécanisme d'inclusion fourni par l'éditeur (souvent noté « include:nom-du-service »).

L'erreur la plus commune est d'ajouter un nouvel outil — par exemple un logiciel de facturation qui envoie aussi des e-mails — sans modifier l'enregistrement SPF existant : ses envois échoueront alors aux contrôles, ce qui peut les faire atterrir en spam. Chaque nouvel outil d'envoi doit systématiquement déclencher une mise à jour du SPF, jamais un nouvel enregistrement séparé.

• Un seul enregistrement SPF, qui regroupe tous les outils via des mécanismes d'inclusion successifs.
• Chaque nouvel outil d'envoi ajouté à l'entreprise déclenche une mise à jour de cet enregistrement, jamais un nouveau.
• Le nombre de recherches DNS qu'un enregistrement SPF peut déclencher est limité : au-delà d'un certain nombre d'inclusions, le SPF peut devenir invalide — un point à surveiller si vous cumulez de nombreux outils.

Comment lire un rapport DMARC

Une fois DMARC activé, même en politique « none », vous recevez des rapports agrégés (au format XML) envoyés quotidiennement par les grands fournisseurs de messagerie à l'adresse indiquée dans votre enregistrement DMARC. Ces rapports bruts sont difficiles à lire tels quels ; des outils gratuits ou payants les transforment en tableaux de bord lisibles.

Ce qu'il faut y chercher : la proportion de vos envois légitimes qui échouent aux contrôles SPF ou DKIM, et l'origine des sources qui envoient des e-mails en se faisant passer pour votre domaine sans y être autorisées. Un envoi légitime qui échoue signale un outil non déclaré dans votre SPF ou une signature DKIM mal configurée, à corriger avant de durcir la politique DMARC.