Ai-je besoin de SPF, DKIM et DMARC ?

Si vous envoyez à une certaine échelle, oui. Gmail et Yahoo attendent une authentification, et ensemble, les trois enregistrements permettent aux destinataires de vérifier que le courrier provient bien de vous.

Dans quel ordre les configurer ?

Commencez par SPF et DKIM pour chaque expéditeur, puis publiez DMARC à p=none, lisez les rapports, corrigez les échecs et durcissez la politique par étapes.

Qu'est-ce que l'alignement DMARC ?

Le domaine qui a réussi SPF ou DKIM doit correspondre au domaine de l'en-tête From. Sans alignement, DMARC échoue même lorsque SPF et DKIM réussissent.

Comment vérifier mes enregistrements ?

Utilisez notre vérificateur SPF, DKIM et DMARC, puis envoyez un message de test et lisez l'en-tête Authentication-Results.

Guide de configuration DKIM, SPF et DMARC

En un coup d'œil. Temps nécessaire : environ 30 minutes, plus le délai DNS · Ce qu'il vous faut : un accès à votre fournisseur DNS

L'essentiel en bref

Pourquoi trois enregistrements. SPF, DKIM et DMARC répondent chacun à une question différente.
SPF : lister qui peut envoyer. SPF est un enregistrement TXT sur votre domaine qui liste les serveurs autorisés à envoyer son courrier.
DKIM : signer chaque message. DKIM ajoute une signature cryptographique à chaque message.
DMARC : définir la politique. DMARC relie les deux autres.
L'alignement en termes simples. DMARC réussit lorsque SPF ou DKIM réussit et que le domaine vérifié correspond au domaine de votre adresse From.
Vérifier et surveiller. Envoyez un message de test à une boîte que vous contrôlez et lisez les résultats d'authentification dans les en-têtes de la copie reçue.

Pourquoi trois enregistrements

SPF, DKIM et DMARC répondent chacun à une question différente. SPF demande si le serveur d'envoi est autorisé à envoyer pour le domaine. DKIM demande si le message a été signé par le domaine et n'a pas été modifié en chemin. DMARC demande ce que le destinataire doit faire lorsque ces vérifications échouent, et vous en informe.

Les fournisseurs de messagerie attendent désormais les trois, surtout des expéditeurs à fort volume. Les publier protège aussi votre propre domaine contre l'usurpation dans des tentatives d'hameçonnage.

SPF : lister qui peut envoyer

SPF est un enregistrement TXT sur votre domaine qui liste les serveurs autorisés à envoyer son courrier. Publiez un seul enregistrement SPF par domaine et incluez-y la valeur indiquée dans votre tableau de bord MigoSMTP. La terminaison ~all marque les autres expéditeurs comme suspects ; certaines équipes passent ensuite à -all une fois certaines d'avoir listé tous les expéditeurs légitimes.

v=spf1 include:YOUR_SPF_HOST ~all

Gardez l'enregistrement sous dix requêtes DNS. Chaque include compte dans la limite : supprimez donc les prestataires que vous n'utilisez plus. Deux enregistrements SPF distincts sur un même domaine constituent une erreur et font échouer SPF.

DKIM : signer chaque message

DKIM ajoute une signature cryptographique à chaque message. Le destinataire la vérifie à l'aide d'une clé publique que vous publiez dans le DNS sous un nom de sélecteur. MigoSMTP vous fournit les enregistrements exacts à ajouter, généralement un ou plusieurs enregistrements CNAME ou TXT.

SELECTOR._domainkey.example.com  CNAME  YOUR_DKIM_TARGET

Ajoutez les enregistrements exactement comme indiqués dans votre tableau de bord, puis vérifiez. Utilisez un sélecteur distinct pour chaque service d'envoi afin de pouvoir en renouveler ou en retirer un sans toucher aux autres.

DMARC : définir la politique

DMARC relie les deux autres. Il indique aux destinataires quoi faire lorsqu'un message échoue à la fois à l'alignement SPF et à l'alignement DKIM avec votre domaine From visible, et où envoyer les rapports à ce sujet.

_dmarc.example.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Commencez à p=none avec le reporting activé, lisez les rapports pour trouver tous les expéditeurs légitimes, comblez les lacunes, puis passez à quarantine et enfin à reject. Passer directement à reject peut bloquer votre propre courrier légitime.

L'alignement en termes simples

DMARC réussit lorsque SPF ou DKIM réussit et que le domaine vérifié correspond au domaine de votre adresse From. Pour DKIM, il s'agit du domaine de la signature. Pour SPF, il s'agit du domaine de l'expéditeur d'enveloppe, et non de l'adresse From.

C'est pourquoi envoyer depuis votre propre domaine, avec une signature DKIM pour ce domaine, est plus robuste que de s'appuyer sur un domaine partagé. Si vos vérifications DMARC échouent alors que SPF et DKIM réussissent, l'alignement en est généralement la cause.

Vérifier et surveiller

Envoyez un message de test à une boîte que vous contrôlez et lisez les résultats d'authentification dans les en-têtes de la copie reçue. Vous devriez voir spf=pass, dkim=pass et dmarc=pass. Vous pouvez aussi interroger directement vos enregistrements.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short CNAME SELECTOR._domainkey.example.com

Continuez à surveiller. Des modifications DNS faites pour d'autres outils peuvent casser vos enregistrements sans prévenir, et de nouveaux expéditeurs apparaissent avec le temps. Examinez régulièrement les rapports DMARC.

Erreurs courantes

Publier deux enregistrements SPF, dépasser dix requêtes DNS, ajouter l'enregistrement DMARC sur le mauvais nom d'hôte, laisser votre fournisseur DNS découper ou altérer les longues valeurs TXT, et oublier les sous-domaines qui envoient aussi du courrier.

Si la vérification échoue, lancez le vérificateur d'authentification sur le domaine pour voir ce que voit le reste d'Internet, et attendez la propagation des modifications DNS avant de réessayer.

Pour aller plus loin et sources

Dans MigoSMTP : articles du centre d'aide

Guides et outils associés

Guide de montée en charge : faire monter une nouvelle IP en toute sécurité.
Guide des fournisseurs de messagerie : ce que vérifie chacun d'eux.
Générateur DMARC : construire votre enregistrement.

Pas sûr que vos enregistrements soient corrects ? Lancez notre vérificateur gratuit, ou envoyez-nous un en-tête et nous vous aiderons à le lire.

Commencer gratuitement

DKIM, SPF et DMARC : guide de configuration complet