DKIM, SPF et DMARC : le guide complet de l'authentification des e-mails en 2026

En février 2024, Google et Yahoo ont rendu l'authentification des e-mails obligatoire pour les expéditeurs en masse. Si vous envoyez plus de 5 000 e-mails par jour, vous devez configurer SPF, DKIM et DMARC, sinon vos e-mails seront rejetés ou finiront dans les spams.

Mais même si vous envoyez moins d'e-mails, ces trois protocoles sont essentiels pour la délivrabilité. Ils prouvent aux fournisseurs de boîtes de réception que vos e-mails proviennent bien de vous et n'ont pas été altérés en cours de transit.

Dans ce guide, je vais vous expliquer ce que fait chacun de ces protocoles, comment ils fonctionnent ensemble et comment les configurer correctement, même si vous n'êtes pas un expert technique.

Les trois piliers de l'authentification des e-mails

Pensez à l'authentification des e-mails comme au contrôle de sécurité d'un aéroport :

Les trois fonctionnent ensemble. SPF sans DMARC, c'est comme avoir un passeport sans agent de l'immigration pour le vérifier. DKIM sans DMARC, c'est un sceau que personne ne regarde.

SPF : Sender Policy Framework

Ce que fait SPF

Le SPF est un enregistrement TXT DNS qui énumère les adresses IP et les serveurs autorisés à envoyer des e-mails au nom de votre domaine. Lorsqu'un serveur de messagerie destinataire reçoit un e-mail de you@yourdomain.com, it checks your domain's SPF record to confirm the sending server is authorized.

Comment configurer SPF

Ajoutez un enregistrement TXT dans les paramètres DNS de votre domaine :

Type: TXT
Host/Name: @ (or yourdomain.com)
Value: v=spf1 include:_spf.google.com include:sendgrid.net ~all

Détail de la syntaxe :

Erreurs SPF courantes à éviter

• Plusieurs enregistrements SPF : Vous ne pouvez avoir qu'UN seul enregistrement SPF par domaine. Si vous en avez deux, les deux deviennent invalides.
• Trop de recherches DNS : SPF est limité à 10 recherches DNS par vérification. Utilisez des outils comme spf-record.com to validate.
• Utiliser +all : Cela autorise n'importe qui à envoyer des e-mails au nom de votre domaine, soit l'exact contraire de ce que vous souhaitez.
• Oublier d'inclure les expéditeurs tiers : Votre ESP, votre CRM, votre outil de support et tout autre outil qui envoie des e-mails depuis votre domaine.

DKIM : DomainKeys Identified Mail

Le rôle de DKIM

DKIM ajoute une signature numérique à chaque e-mail sortant. Le serveur destinataire utilise votre clé publique (publiée dans le DNS) pour vérifier que l'e-mail n'a pas été modifié en cours de route et qu'il provient bien de votre domaine.

Comment configurer DKIM

La plupart des fournisseurs de messagerie génèrent les clés DKIM à votre place. Voici la procédure habituelle :

1. Générer les clés dans le tableau de bord de votre fournisseur de messagerie (Google Workspace, Brevo, SendGrid, etc.)
2. Ajoutez l'enregistrement DNS qu'il fournit :

Type: TXT
Hôte/Nom: google._domainkey.yourdomain.com  (variable selon fournisseur)
Valeur: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...

3. Activer la signature DKIMDans les paramètres de votre fournisseur
4. Vérifier à l'aide d'un outil de vérification DKIM

Sélecteurs DKIM

Le « sélecteur » (google, s1, smtp, etc.) is an identifier that tells the receiving server which DKIM key to use. Your ESP provides the selector — it's part of the DNS hostname:

<selector>._domainkey.yourdomain.com

Vous pouvez avoir plusieurs sélecteurs DKIM pour différents services (par exemple, google._domainkey for Google Workspace, s1._domainkey for your ESP).

Bonnes pratiques DKIM

• Utilisez une clé de 2048 bits au minimum. Les clés de 1024 bits ne sont plus considérées comme sécurisées.
• Renouvelez les clés périodiquement (tous les 6 à 12 mois)
• Assurez-vous que votre ESP signe bien les e-mails avec DKIM avant d'ajouter l'enregistrement DNS

DMARC : Domain-based Message Authentication, Reporting & Conformance

Ce que fait DMARC

DMARC est la couche de politique qui relie SPF et DKIM entre eux. Il indique aux serveurs destinataires :

1. Ce qu'il faut vérifier (SPF, DKIM, ou les deux)
2. Que faire en cas d'échec de la vérification (ne rien faire, mettre en quarantaine ou rejeter)
3. Où envoyer les rapports sur les résultats d'authentification

Comment configurer DMARC

Ajoutez un enregistrement TXT à votre domaine :

Type: TXT
Hôte/Nom: _dmarc.yourdomain.com
Valeur: v=DMARC1; p=quarantine; rua=mailto:dmarc-rapports@votredomaine.com; ruf=mailto:dmarc-investigations@votredomaine.com; pct=100

Niveaux de politique (p=):

Parcours de déploiement recommandé :

1. Commencer par p=none and rua (aggregate reports) for 1–2 weeks
2. Examiner les rapports DMARC pour identifier les expéditeurs non autorisés
3. Passer à p=quarantine for another 1–2 weeks
4. Passer à p=reject once you're confident all legitimate senders pass

Comment les trois mécanismes fonctionnent ensemble

Lorsque vous envoyez un e-mail, voici ce qui se passe sur le serveur destinataire :

1. SPF Coché: « L'adresse IP du serveur expéditeur figure-t-elle dans l'enregistrement SPF ? »
   atterrissent RÉUSSI ou ÉCHEC

2. DKIM Coché: "La signature DKIM correspond-elle à la clé publique dans le DNS ?"
   atterrissent RÉUSSI ou ÉCHEC

3. DMARC Coché: "Que faire selon les résultats SPF/DKIM ?"
   atterrissent NONE: Livrer normalement
   atterrissent QUARANTINE: Envoyer à même pour dossier
   atterrissent REJECT: Bloquer entièrement (rebond)

Pour que DMARC réussisse, au moins UN des deux, SPF ou DKIM, doit réussir ET être aligné avec le domaine d'envoi. Cela signifie :

• Si SPF réussit mais DKIM échoue → DMARC peut réussir
• Si DKIM réussit mais SPF échoue → DMARC peut réussir
• Si les deux échouent → DMARC échoue

Tester votre configuration d'authentification

Utilisez ces outils gratuits pour vérifier votre configuration :

1. Google Admin Toolbox CheckMX : Rendez-vous sur https://toolbox.googleapps.com/apps/checkmx/ and enter your domain
2. MXToolbox : Vérifiez SPF, DKIM et DMARC séparément sur https://mxtoolbox.com/
3. DMARC Analyzer de Dmarcian : Importez vos rapports DMARC pour une analyse détaillée
4. Envoyer un e-mail de test à check-auth@verifier.port25.com — it replies with a detailed SPF/DKIM/DMARC report

Erreurs courantes qui cassent l'authentification

1. Oublier de mettre à jour le SPF lors d'un changement de fournisseur d'e-mails

Lorsque vous passez de Mailchimp à Brevo (ou à tout autre fournisseur d'e-mails), mettez à jour votre enregistrement SPF pour inclure le nouveau fournisseur ET conservez l'ancien pendant la transition.

2. Clé DKIM trop courte

Les clés DKIM de 1024 bits sont obsolètes. Google et Microsoft peuvent les rejeter. Utilisez toujours au minimum 2048 bits.

3. DMARC rua Email Doesn't Exist

Le rua address receives aggregate XML reports. If this mailbox doesn't exist or is full, you lose visibility into authentication failures.

4. Erreur PermError SPF (trop de recherches)

Chaque include:, a, mx, and ptr mechanism counts as a DNS lookup. The limit is 10. If you exceed it, SPF fails with a PermError — which means it's treated as if it doesn't exist.

Solution : utilisez un service hébergé d'aplatissement SPF ou regroupez vos directives include.

Points clés à retenir

• SPF + DKIM + DMARC sont obligatoires pour les expéditeurs en masse (exigence de Google et Yahoo depuis février 2024)
• Commencer par p=none, surveillez pendant 2 semaines, puis passez à p=quarantine then p=reject
• Vérifiez votre configuration à l'aide de Google CheckMX, MXToolbox ou de l'adresse de test de Port25
• Un seul enregistrement SPF — plusieurs enregistrements invalident les deux
• Clés DKIM de 2048 bits ou plus
• Vérifiez votre liste d'e-mails avec un outil de validation pour vous assurer que vous n'envoyez pas à des adresses invalides — l'authentification ne représente que la moitié de l'équation ; la qualité de la liste est l'autre moitié