Pourquoi les règles ont changé depuis 2024-2025
Google a publié ses Sender Guidelines en octobre 2023 et les a renforcées en avril 2024 : tout expéditeur envoyant plus de 5 000 messages par jour vers des comptes Gmail doit avoir SPF, DKIM et un enregistrement DMARC en place. Sans cela, le serveur SMTP de Google retourne une erreur 550-5.7.26, un rejet définitif et non un classement en spam. Microsoft a aligné Outlook sur les mêmes exigences en mai 2025. Un e-mail rejeté en 550 n'atteint jamais la boîte du destinataire. L'expéditeur reçoit un bounce ; le message est perdu. Pour les envois transactionnels (confirmations de commande, factures, réinitialisations de mot de passe), c'est un risque opérationnel direct.
Ce que ces trois enregistrements vous apportent concrètement
- **Délivrabilité garantie** — les serveurs Gmail et Outlook acceptent le message au lieu de le rejeter en 550.
- **Protection contre l'usurpation** — SPF et DKIM empêchent un tiers d'envoyer des e-mails en votre nom depuis un serveur non autorisé.
- **Rapports DMARC** — l'enregistrement rua vous envoie quotidiennement la liste des serveurs qui ont envoyé sous votre domaine.
- **Réputation d'expéditeur préservée** — un alignement DMARC à p=quarantine puis p=reject protège votre domaine contre les campagnes de phishing.
- **Conformité aux grandes plateformes** — obligatoire pour Mailchimp, Brevo, SendGrid et la plupart des ESP depuis 2024.
Les trois enregistrements DNS : prérequis
SPF, DKIM et DMARC sont trois enregistrements DNS distincts publiés dans la zone du domaine expéditeur. SPF (TXT à la racine de votre-domaine.com) liste les serveurs autorisés à envoyer en votre nom. DKIM (TXT sur un sélecteur comme mail._domainkey.votre-domaine.com) ajoute une signature cryptographique à chaque e-mail. DMARC (TXT sur _dmarc.votre-domaine.com) indique quoi faire des e-mails qui échouent aux deux vérifications précédentes et où envoyer les rapports. L'alignement DMARC — exigé depuis 2025 — signifie que le domaine dans l'en-tête From doit correspondre au domaine vérifié par SPF ou DKIM.
Configurer SPF, DKIM et DMARC étape par étape
Publier l'enregistrement SPF
Créez un enregistrement TXT à la racine de votre domaine. La valeur liste les sources autorisées, par exemple v=spf1 include:_spf.votre-fournisseur.com ~all. Un seul enregistrement SPF par domaine — en cas de doublon, les vérifications échouent.
Activer et publier la clé DKIM
Votre serveur de messagerie (Postfix, Exim, Dovecot) ou votre ESP génère une paire de clés. Publiez la clé publique dans un enregistrement TXT sous le sélecteur choisi, par exemple mail._domainkey.votre-domaine.com.
Ajouter l'enregistrement DMARC avec rapports
Créez un enregistrement TXT sur _dmarc.votre-domaine.com. Valeur de départ : v=DMARC1; p=none; rua=mailto:[email protected]. En mode p=none, aucun e-mail n'est rejeté — vous observez sans bloquer.
Vérifier l'alignement du domaine expéditeur
Envoyez un e-mail de test et analysez les en-têtes reçus : cherchez Authentication-Results — il doit mentionner spf=pass, dkim=pass et dmarc=pass. Des outils comme MXToolbox ou mail-tester.com permettent cette vérification.
Durcir DMARC après deux à quatre semaines de rapports
Quand les sources légitimes passent toutes SPF et DKIM, passez à p=quarantine, puis à p=reject. Avec p=reject, tout e-mail qui échoue à l'alignement est refusé en SMTP 550 par le serveur destinataire.
Sécurité : passer à p=reject et surveiller les rapports
Le mode p=reject est l'objectif final : il protège votre domaine contre le phishing et satisfait les exigences strictes de Gmail et Outlook. Vérifiez que toutes vos sources d'envoi — serveur principal, ESP tiers, outils d'automatisation — signent bien en DKIM avec votre domaine. Activez la balise ruf pour les rapports forensiques sur les messages individuels rejetés.
Après la configuration : surveiller et maintenir
SPF, DKIM et DMARC ne sont pas des réglages ponctuels. Un nouveau fournisseur d'e-mails ajouté sans mise à jour du SPF déclenche immédiatement des échecs d'alignement. Une rotation de clé DKIM non coordonnée avec la publication DNS casse la signature pendant plusieurs heures. Planifiez une revue trimestrielle : vérifiez que le SPF liste toutes vos sources actives, que la clé DKIM est à jour, et que les rapports DMARC ne remontent pas de sources inconnues.
