Dans notre guide complet sur SPF, DKIM et DMARC, on a posé les fondamentaux. Mais on a laissé de côté le cas le plus fréquent en entreprise — et de loin le plus piégeux.

Vous n’avez quasiment jamais un seul expéditeur. En pratique, votre domaine ressemble à ça :

  • Missivio gère vos emails professionnels (le courrier que vous écrivez à la main) ;
  • Brevo, Mailchimp ou Sendinblue envoient vos newsletters et vos campagnes marketing ;
  • votre CRM (HubSpot, Pipedrive…) envoie des relances et des notifications ;
  • votre outil de facturation ou votre SaaS métier envoie des reçus, des confirmations.

Tous écrivent @votredomaine.fr dans le champ expéditeur. Et chacun, vu de l’extérieur, doit pouvoir prouver qu’il a le droit de le faire. Si un seul de ces services est mal déclaré, vous avez deux conséquences possibles : ses emails partent en spam, ou vous laissez une porte ouverte à l’usurpation.

Voici comment orchestrer tout ça proprement.

Le piège n°1 : la limite des 10 lookups DNS du SPF

C’est l’erreur la plus répandue, et la plus sournoise parce qu’elle est invisible jusqu’à ce que ça casse.

Rappel : SPF n’autorise qu’un seul enregistrement par domaine. Quand vous ajoutez plusieurs services, vous empilez donc les include: dans ce même enregistrement :

v=spf1 include:_spf.missivio.fr include:spf.brevo.com include:_spf.hubspot.com -all

Le problème : chaque include: (et chaque mécanisme a, mx, redirect…) déclenche une requête DNS lors de la vérification. La norme SPF impose un maximum de 10 de ces requêtes. Au-delà, le résultat n’est pas « échec partiel » : c’est un PermError, et la plupart des serveurs traitent alors votre SPF comme invalide pour tout le domaine. Tous vos expéditeurs trinquent, y compris ceux qui étaient bien configurés.

Et le piège, c’est que chaque include: peut lui-même en contenir d’autres : spf.brevo.com ou _spf.google.com cachent souvent 3 ou 4 lookups à eux seuls. On atteint la limite beaucoup plus vite qu’on ne le croit.

💡 Comment s’en sortir : on audite le nombre réel de lookups (des outils comme dmarcian ou mxtoolbox les comptent pour vous), on supprime les include: de services qu’on n’utilise plus, et si besoin on « aplatit » (flattening) certains enregistrements. C’est typiquement le genre de configuration qu’on vérifie ligne par ligne chez Missivio.

Le DKIM : un selecteur par service, et c’est tant mieux

Bonne nouvelle, DKIM ne souffre pas du problème de la limite SPF. Chaque service signe avec sa propre clé, publiée sous son propre selecteur dans votre DNS :

missivio._domainkey.votredomaine.fr   TXT  "v=DKIM1; ... clé Missivio ..."
brevo._domainkey.votredomaine.fr      TXT  "v=DKIM1; ... clé Brevo ..."
hs1._domainkey.votredomaine.fr        TXT  "v=DKIM1; ... clé HubSpot ..."

Chaque outil vous fournit son selecteur et sa clé publique au moment de l’activation. Il suffit de les publier. Pas de limite, pas de conflit : c’est le mécanisme propre, et c’est celui sur lequel DMARC s’appuie de préférence.

⚠️ Le réflexe à avoir : pour chaque service que vous ajoutez, activez et publiez son DKIM. Beaucoup d’utilisateurs configurent le SPF et oublient le DKIM de leur outil de newsletter — qui passe alors péniblement, voire pas du tout, dès que DMARC se durcit.

Le DMARC et l’alignement : le vrai juge de paix

C’est ici que tout se joue. DMARC ne se contente pas de vérifier que SPF ou DKIM passe : il vérifie l’alignement entre le domaine validé et le domaine affiché dans le champ « De : ».

Et c’est précisément là que les services tiers diffèrent :

  • Certains envoient depuis leur propre domaine technique (par exemple un From: ou un Return-Path: en @mail.brevo.com). Sans configuration, l’alignement échoue, et DMARC peut bloquer l’email même si SPF et DKIM sont « verts ».
  • C’est pourquoi ces outils proposent un « domaine d’authentification » ou un « domaine personnalisé » à configurer (souvent un sous-domaine type mail.votredomaine.fr ou news.votredomaine.fr). Une fois en place, leurs envois s’alignent sur votre domaine, et DMARC les valide.

D’où une bonne pratique structurante : dédier un sous-domaine à chaque grand usage.

La bonne pratique : segmenter par sous-domaine

Plutôt que de tout faire transiter par votre domaine racine, on sépare les flux :

  • votredomaine.fr → vos emails professionnels (Missivio) ;
  • news.votredomaine.fr → vos newsletters (Brevo, Mailchimp) ;
  • notif.votredomaine.fr → vos notifications transactionnelles (CRM, SaaS).

Les avantages sont concrets :

  1. La réputation est cloisonnée. Si une campagne marketing génère des plaintes spam, elle abîme la réputation de news., pas celle de votre domaine principal. Vos emails pros restent intacts.
  2. Le SPF de chaque sous-domaine est plus court — on s’éloigne de la limite des 10 lookups.
  3. Le DMARC peut être affiné par sous-domaine, et les rapports sont plus lisibles : on voit immédiatement quel flux pose problème.

DMARC permet d’ailleurs de définir une politique par défaut pour les sous-domaines via le tag sp= sur le domaine racine.

Récapitulatif : la méthode propre

Pour faire cohabiter plusieurs expéditeurs sans rien casser :

  1. Inventorier tous les services qui envoient en votre nom. On en oublie toujours un (l’outil de signature électronique, la plateforme de sondage…).
  2. Segmenter par sous-domaine selon l’usage (pro / marketing / transactionnel).
  3. SPF : un enregistrement par domaine/sous-domaine, en surveillant la limite des 10 lookups.
  4. DKIM : activer et publier le selecteur de chaque service.
  5. DMARC : vérifier l’alignement de chaque flux, démarrer en p=none, lire les rapports, puis durcir.
  6. Tester chaque flux séparément sur mail-tester.com — newsletter comprise — et viser le 10/10 sur chacun.

Ce dernier point est important : on ne teste pas que le courrier « à la main ». On envoie une vraie campagne de test depuis Brevo vers mail-tester, et on vérifie qu’elle aussi sort à 10/10. Une newsletter qui plafonne à 7/10 finit en spam aussi sûrement qu’un email pro mal configuré.

Chez Missivio, on cartographie toute votre chaîne d’envoi

C’est exactement le type de configuration où on intervient le plus volontiers. Quand vous arrivez chez nous, on ne se contente pas de configurer la messagerie Missivio : on regarde l’ensemble de votre domaine. Quels outils envoient en votre nom, comment ils s’alignent, où se cachent les lookups DNS en trop, quel sous-domaine dédier à quoi.

C’est rarement compliqué une fois qu’on a la carte sous les yeux. Mais ça demande de tout voir d’un coup, et de connaître les particularités de chaque service. Et c’est précisément ce qu’on fait avec vous, ligne par ligne, jusqu’à ce que chaque flux sorte à 10/10 sur mail-tester.

Vous jonglez avec plusieurs outils d’envoi et vous n’êtes pas certain que tout est aligné ? Réservez 20 minutes : on fait l’inventaire de vos expéditeurs ensemble, et on vous dit exactement ce qui est propre et ce qui doit être corrigé.