N'importe qui peut écrire n'importe quelle adresse dans la ligne « From » d'un e-mail (usurpation d'adresse e-mail). Trois normes fondées sur le DNS permettent aux serveurs destinataires de vérifier si un message provient réellement du domaine qu'il annonce : SPF, DKIM et DMARC. Depuis 2024, Gmail et Yahoo les exigent des expéditeurs en masse, et l'absence de ces enregistrements est une raison fréquente pour laquelle les e-mails finissent dans les spams.
SPF : quels serveurs peuvent envoyer
Sender Policy Framework est un enregistrement TXT qui liste les serveurs autorisés à envoyer des e-mails pour votre domaine.
example.com. TXT "v=spf1 include:_spf.google.com include:sendgrid.net -all"
include:ajoute les serveurs d'un autre fournisseur.ip4:/ip6:ajoutent des adresses précises.- La fin définit la politique :
-all(rejeter tout le reste),~all(softfail : accepter mais marquer),?all(neutre).
Le serveur destinataire compare l'IP du serveur qui se connecte à l'enregistrement du domaine du Return-Path.
Limites : un seul enregistrement SPF par domaine, 10 requêtes DNS au maximum, et SPF échoue lorsque l'e-mail est transféré.
DKIM : une signature sur chaque message
DomainKeys Identified Mail signe chaque message avec une clé privée sur le serveur d'envoi. La clé publique est publiée dans le DNS :
selector1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
Le destinataire utilise le sélecteur et le domaine indiqués dans l'en-tête DKIM-Signature pour récupérer la clé et vérifier que les en-têtes signés et le corps du message n'ont pas été modifiés. DKIM résiste au transfert. Votre fournisseur de messagerie vous fournit l'enregistrement à publier.
DMARC : la politique qui relie le tout
Domain-based Message Authentication, Reporting and Conformance indique aux destinataires quoi faire lorsqu'un message échoue, et exige que SPF ou DKIM réussisse pour le même domaine que celui de l'adresse From (alignement).
_dmarc.example.com. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@example.com"
| Politique | Effet |
|---|---|
p=none |
Surveillance uniquement, envoi de rapports |
p=quarantine |
Placer les e-mails en échec dans les spams |
p=reject |
Refuser les e-mails en échec |
Commencez par p=none, lisez les rapports pendant quelques semaines pour repérer tous les expéditeurs légitimes, puis passez à quarantine et à reject.
Les résultats que vous verrez
| Résultat | Signification |
|---|---|
| pass | La vérification a réussi |
| fail | La vérification a échoué ; avec la politique DMARC reject, le message est refusé |
| softfail | SPF ~all : non autorisé, mais pas rejeté d'office |
| neutral / none | Aucune politique ou aucun enregistrement |
| temperror / permerror | Un problème DNS ou un enregistrement défectueux |
Vérifiez les résultats d'un message avec notre Analyseur d'en-têtes d'e-mail, et testez les enregistrements de votre domaine, y compris la limite de 10 requêtes, avec le Vérificateur SPF, DKIM et DMARC. Il génère aussi pour vous des enregistrements corrects.
Liste de contrôle pour votre domaine
- Publiez un seul enregistrement SPF listant tous les services qui envoient pour vous.
- Activez la signature DKIM dans chaque service d'envoi et publiez leurs clés.
- Publiez un enregistrement DMARC avec
p=noneet une adresse de réception des rapports. - Si vous gérez votre propre serveur de messagerie, définissez un enregistrement de DNS inverse correspondant.
- Après quelques semaines, durcissez DMARC en
quarantine, puis enreject.
Questions fréquentes
Ai-je besoin des trois ?
Oui. SPF et DKIM fournissent les vérifications ; DMARC pousse les destinataires à agir en conséquence et protège votre domaine contre l'usurpation.
Pourquoi SPF échoue-t-il sur les e-mails transférés ?
Le serveur qui transfère ne figure pas dans votre enregistrement SPF. DKIM réussit généralement quand même, donc DMARC réussit.
SPF, DKIM et DMARC peuvent-ils arrêter tout le phishing ?
Ils empêchent les autres d'utiliser votre domaine exact. Ils n'empêchent pas les domaines qui lui ressemblent : lisez donc attentivement l'adresse de l'expéditeur.