Vous envoyez un email professionnel important. Il n’arrive jamais, ou il atterrit dans les spams de votre destinataire. Pire : quelqu’un envoie des emails frauduleux en se faisant passer pour votre domaine, et vous ne pouvez rien y faire.

Dans la quasi-totalité des cas, la cause est la même : votre domaine n’est pas correctement authentifié.

SPF, DKIM et DMARC sont les trois mécanismes qui répondent à une question simple que se pose chaque serveur de réception : « Cet email prétend venir de votre domaine. Est-ce vrai ? » Sans eux, votre courrier est suspect par défaut. Avec eux, bien configurés, vous gagnez deux choses essentielles : vos emails arrivent, et personne ne peut usurper votre identité.

Voici comment ça marche, comment le configurer, et pourquoi c’est non négociable.

Pourquoi c’est devenu indispensable

Pendant longtemps, l’email a fonctionné sur la confiance. N’importe quel serveur pouvait prétendre envoyer du courrier au nom de n’importe quel domaine. C’est précisément ce qui a fait le succès du phishing et de l’usurpation d’identité (le spoofing).

Les choses ont changé. Depuis 2024, Google et Microsoft exigent SPF, DKIM et DMARC pour accepter le courrier des expéditeurs un peu volumineux. Un domaine mal authentifié, aujourd’hui, c’est :

  • des emails légitimes qui partent en spam ou sont purement rejetés ;
  • un domaine que n’importe qui peut usurper pour arnaquer vos clients en votre nom ;
  • une réputation d’expéditeur qui se dégrade, parfois durablement.

Pour une entreprise qui traite des échanges sensibles — contrats, RH, juridique —, ce n’est pas un détail technique. C’est une question de sécurité et de crédibilité.

SPF — qui a le droit d’envoyer en mon nom ?

SPF (Sender Policy Framework) est une liste blanche. Vous déclarez, dans votre DNS, quels serveurs sont autorisés à envoyer des emails pour votre domaine. À la réception, le serveur destinataire vérifie que l’email provient bien d’une de ces sources.

Concrètement, c’est un enregistrement DNS de type TXT sur votre domaine :

v=spf1 include:_spf.missivio.fr -all

Décryptage :

  • v=spf1 — version du protocole ;
  • include:_spf.missivio.fr — autorise les serveurs déclarés par votre hébergeur mail (ici Missivio) ;
  • -all — rejette tout le reste. C’est le -all (hard fail) qui fait la différence : il indique que tout serveur non listé doit être refusé.

⚠️ Erreur fréquente : terminer par ~all (soft fail) ou laisser plusieurs enregistrements SPF sur le domaine. SPF n’autorise qu’un seul enregistrement, et un soft fail affaiblit toute la chaîne.

DKIM — la signature qui prouve l’intégrité

SPF dit qui a le droit d’envoyer. DKIM (DomainKeys Identified Mail) prouve que le message n’a pas été falsifié en route et qu’il a bien été émis par votre domaine.

Le principe repose sur de la cryptographie asymétrique :

  1. Votre serveur mail signe chaque message sortant avec une clé privée ;
  2. La clé publique correspondante est publiée dans votre DNS ;
  3. Le serveur destinataire récupère la clé publique, vérifie la signature, et confirme que le contenu est authentique et intact.

L’enregistrement DNS ressemble à ceci :

selecteur._domainkey.votredomaine.fr  TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSq..."

Le selecteur permet d’avoir plusieurs clés (et donc d’en faire la rotation sans interruption). La bonne nouvelle : chez Missivio, la génération des clés DKIM et leur publication sont gérées pour vous. Vous n’avez pas à manipuler de cryptographie à la main.

DMARC — la politique qui orchestre le tout

SPF et DKIM authentifient. DMARC (Domain-based Message Authentication, Reporting & Conformance) décide quoi faire quand l’authentification échoue — et vous envoie des rapports.

C’est le chef d’orchestre. Il vérifie deux choses :

  • l’alignement : le domaine validé par SPF/DKIM correspond-il bien au domaine affiché dans le « De : » ? (c’est ce qui bloque réellement le spoofing) ;
  • la politique : que faire des messages non conformes ?

L’enregistrement DNS :

_dmarc.votredomaine.fr  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@votredomaine.fr; adkim=s; aspf=s"

Décryptage :

  • p=reject — la politique cible : les messages non authentifiés sont rejetés. On y arrive progressivement ;
  • rua=mailto:... — l’adresse qui reçoit les rapports d’agrégation (très utile pour voir qui tente d’usurper votre domaine) ;
  • adkim=s / aspf=s — alignement strict.

💡 La bonne pratique : démarrer en p=none (mode observation, on collecte les rapports sans rien bloquer), puis passer à p=quarantine, et enfin p=reject une fois qu’on a la certitude que tout le courrier légitime passe. On ne saute jamais directement en reject sur un domaine en production sans avoir analysé les rapports.

Et si plusieurs services envoient en mon nom ?

C’est le cas le plus courant en entreprise — et celui où les erreurs sont les plus fréquentes. Votre messagerie Missivio gère vos emails professionnels, mais un outil comme Brevo, Mailchimp ou Sendinblue envoie vos newsletters, et peut-être votre CRM ou votre facturation envoient des notifications, toujours en votre nom de domaine.

Chacun de ces services doit être déclaré dans la même chaîne d’authentification. Et c’est là que les pièges apparaissent : un SPF unique qui doit tous les lister sans dépasser la limite des 10 lookups DNS (sinon il casse silencieusement), un selecteur DKIM distinct par outil, et un alignement DMARC qui réagit différemment selon que chaque service signe ou non avec votre domaine.

C’est un sujet à part entière, qui mérite son propre guide : on l’a détaillé dans Plusieurs expéditeurs sur un même domaine : faire cohabiter Missivio, Brevo et vos autres outils. Pour l’instant, retenez le principe : chaque service qui envoie en votre nom doit être déclaré proprement, et l’ensemble doit rester cohérent. Un oubli, et c’est soit vos newsletters qui partent en spam, soit une faille qu’un usurpateur peut exploiter.

La règle d’or : viser le 10/10 sur mail-tester.com

Comment savoir si tout est bien en place ? Il existe un outil simple et redoutablement efficace : mail-tester.com. Vous envoyez un email à l’adresse qu’il vous donne, et il vous note sur 10 en analysant SPF, DKIM, DMARC, la réputation de l’IP, le contenu, le reverse DNS, et une dizaine d’autres critères.

Chez Missivio, notre standard, c’est le 10/10. Systématiquement.

Ce n’est pas un objectif cosmétique. Un 10/10 signifie que chaque maillon de la chaîne de délivrabilité est propre : authentification complète, IP avec bonne réputation, configuration DNS irréprochable. C’est la différence entre des emails qui arrivent en boîte de réception et des emails qui se font filtrer. Pour une messagerie professionnelle, c’est la base — pas le bonus.

L’ordre de configuration, en pratique

Pour récapituler, la mise en place propre suit cet ordre :

  1. SPF — publier un unique enregistrement avec -all, incluant uniquement vos sources d’envoi réelles.
  2. DKIM — générer une paire de clés, publier la clé publique, activer la signature côté serveur.
  3. DMARC — démarrer en p=none, lire les rapports, durcir progressivement jusqu’à p=reject.
  4. Vérifier — passer un test sur mail-tester.com et viser le 10/10. Surveiller les rapports DMARC dans le temps.

Aucune de ces étapes n’est insurmontable. Mais une erreur de syntaxe, un SPF en double, un alignement mal compris, et c’est toute votre délivrabilité qui en pâtit — souvent sans que vous vous en rendiez compte avant qu’un email important ne soit perdu.

Chez Missivio, vous n’êtes jamais seul avec vos doutes

C’est précisément pour ça qu’on existe. Quand vous arrivez chez Missivio, SPF, DKIM et DMARC sont configurés correctement, dès le départ, par nous. On génère les clés, on prépare les enregistrements DNS, on vérifie l’alignement, et on ne valide que quand mail-tester.com affiche 10/10.

Et si vous avez la moindre question — sur un enregistrement DNS récalcitrant, sur un rapport DMARC que vous ne comprenez pas, sur un domaine qui passait en spam avant de venir chez nous — on en parle. Pas de ticket qui se perd, pas de niveau 1 qui transfère au niveau 2. Vous parlez directement à quelqu’un qui maîtrise le sujet et qui met les mains dans la configuration avec vous.

La souveraineté de votre messagerie commence par sa fiabilité. Et la fiabilité, ça se prouve : un domaine authentifié, des emails qui arrivent, une identité que personne ne peut usurper.

Vous avez un doute sur la configuration de votre domaine, ou vous voulez qu’on regarde ensemble pourquoi vos emails partent en spam ? Réservez 20 minutes avec nous : on fait le diagnostic, et on vous dit exactement où ça coince.