SPF, DKIM et DMARC expliqués simplement : les enregistrements DNS pour ne plus tomber en spam

Vous avez votre propre domaine et une adresse du type nom@entreprise.fr, et pourtant vos messages aux clients tombent en spam ou n'arrivent jamais. Ce n'est ni votre faute ni celle du client. Le problème, presque toujours, c'est que les serveurs qui reçoivent votre mail n'ont aucun moyen de confirmer que c'est bien vous.

Gmail, Outlook et les autres vérifient chaque message reçu via trois mécanismes : SPF, DKIM et DMARC. Ce sont trois enregistrements que vous ajoutez au DNS de votre domaine — un ensemble de règles publiques indiquant quels serveurs ont le droit d'envoyer en votre nom. Sans eux, votre mail part avec un handicap. Dans cet article, je les prends un par un, en langage clair, et je vous montre exactement quoi ajouter et dans quel ordre, sans jargon inutile.

Pourquoi vos emails finissent réellement en spam

Quand vous envoyez un message, le serveur du destinataire ne peut pas savoir s'il vient vraiment de vous ou de quelqu'un qui utilise le nom de votre domaine. C'est comme une lettre où n'importe qui peut écrire « de la part de entreprise.fr » sur l'enveloppe.

Pour ne pas se faire berner, les grands fournisseurs demandent des preuves. Ils cherchent dans le DNS de votre domaine trois signatures publiques :

• SPF — quels serveurs ont le droit d'envoyer du mail en votre nom
• DKIM — une signature prouvant que le message n'a pas été modifié en route
• DMARC — ce que le serveur doit faire quand un message échoue à SPF ou DKIM

S'ils manquent, votre mail n'est pas forcément bloqué, mais il tombe facilement en spam. S'ils sont bien configurés, vous passez le filtre avec bien plus de confiance. La bonne nouvelle : vous les configurez une fois et ils restent en place.

SPF — la liste des serveurs autorisés à envoyer

SPF (Sender Policy Framework) est un unique enregistrement de type TXT dans votre DNS. Il liste les serveurs autorisés à envoyer depuis votre domaine : Google Workspace, Microsoft 365, un outil de newsletter, le serveur de votre hébergeur.

Une valeur typique ressemble à ceci :

v=spf1 include:_spf.google.com ~all

• v=spf1 déclare qu'il s'agit d'une politique SPF
• include:... ajoute les serveurs d'un fournisseur (ici Google)
• ~all signifie « traite le reste comme suspect, mais sans rejet strict »

Deux pièges à éviter : vous ne pouvez avoir qu'un seul enregistrement SPF par domaine (si vous utilisez plusieurs fournisseurs, mettez-les tous sur la même ligne avec plusieurs include), et SPF autorise au maximum dix recherches — n'y entassez pas des dizaines de services. Si vous envoyez uniquement via Google ou Microsoft, la valeur ci-dessus, adaptée, suffit.

DKIM — la signature qui prouve l'authenticité du message

DKIM (DomainKeys Identified Mail) ajoute à chaque email une signature numérique, invisible pour le destinataire. Le serveur qui reçoit le mail utilise une clé publique de votre DNS pour confirmer que le message vient bien de vous et n'a pas été modifié en chemin.

En pratique, vous n'écrivez pas la clé vous-même. Votre fournisseur d'email (Google, Microsoft, l'outil de newsletter) la génère, et vous l'ajoutez simplement au DNS — en général comme un enregistrement TXT ou CNAME avec un nom du type selector._domainkey.entreprise.fr.

• Dans Google Workspace, vous l'activez depuis Admin, sous Apps > Gmail > Authentifier les emails
• Dans Microsoft 365, depuis Defender, dans la section des politiques d'email

Il est important d'activer DKIM aussi pour les outils d'envoi en masse (newsletter, facturation), pas seulement pour votre boîte principale. Chacun a son propre selector, donc son propre enregistrement.

DMARC — la règle qui relie tout et vous donne des rapports

DMARC est ce qui transforme SPF et DKIM, de vérifications isolées, en une vraie politique. Il indique aux serveurs destinataires quoi faire quand un message échoue à l'authentification — et, en plus, il vous envoie des rapports sur qui envoie depuis votre domaine.

L'enregistrement est aussi un TXT, nommé _dmarc.entreprise.fr :

v=DMARC1; p=none; rua=mailto:rapports@entreprise.fr

• p=none — vous surveillez seulement, rien n'est rejeté (c'est ainsi qu'on démarre)
• p=quarantine — les messages en échec vont en spam
• p=reject — les messages en échec sont totalement refusés
• rua= — l'adresse où vous recevez les rapports

La règle d'or : commencez par p=none quelques semaines, lisez les rapports pour confirmer que vos mails légitimes passent, puis montez progressivement vers quarantine et seulement à la fin vers reject. Passer directement à reject sans vérifier risque de bloquer vos propres emails.

Le bon ordre, et qui peut le mettre en place pour vous

En bref, l'ordre sain est : SPF d'abord, puis DKIM, puis DMARC sur p=none, et une fois seulement que les rapports montrent que tout est propre, vous montez DMARC vers quarantine puis reject. Vous les ajoutez dans le panneau DNS de votre domaine (chez le registrar ou l'hébergeur), et les changements peuvent prendre de quelques minutes à une journée pour se propager.

Vous testez en envoyant un mail vers une adresse Gmail : ouvrez le message, choisissez « Afficher l'original » et cherchez PASS à côté de SPF, DKIM et DMARC.

Si tout cela vous paraît du chinois, c'est normal — une virgule mal placée peut tout casser. Chez MPO Web Studio, nous configurons SPF, DKIM et DMARC dans le cadre de la livraison d'un site, entièrement à distance, sans que vous ayez à vous déplacer. Si vous voulez juste une vérification rapide de votre domaine, écrivez-nous sur WhatsApp et nous regarderons ensemble ce qui manque.