Aller au contenu
Duva Duva

← Tous les articles

SPF, DKIM et DMARC : configurer un domaine d'envoi, pas à pas

· 6 min de lecture

Pour qu'un serveur de réception croie qu'un courriel vient bien de votre domaine, il compare ce qu'il reçoit à ce que votre DNS annonce. Trois mécanismes se partagent le travail : SPF, DKIM et DMARC. Les confondre est la première source de problèmes de configuration. Voici ce que fait chacun, comment les publier sans casser ce qui marche déjà, et comment vérifier.

Ce que fait chaque mécanisme

SPF (Sender Policy Framework) dit quels serveurs ont le droit d'envoyer pour un domaine. Le serveur de réception regarde l'adresse de retour de l'enveloppe (le « Return-Path ») et vérifie que l'adresse IP de l'expéditeur figure dans le SPF de ce domaine.

DKIM (DomainKeys Identified Mail) signe le message. L'expéditeur signe avec une clé privée ; la clé publique correspondante est publiée dans votre DNS, sous <sélecteur>._domainkey.votre-domaine. Le serveur de réception vérifie la signature : le message vient bien du domaine signataire et son contenu n'a pas changé en chemin.

DMARC relie les deux à ce que la personne voit. Il vérifie que le domaine de l'adresse From (celui qui s'affiche) est aligné avec le domaine authentifié par SPF ou par DKIM, puis il dit au serveur de réception quoi faire quand ce n'est pas le cas : ne rien faire (none), mettre en quarantaine (quarantine) ou rejeter (reject). Il demande aussi des rapports.

Un message passe DMARC si SPF ou DKIM réussit et que le domaine authentifié est aligné avec le From. L'alignement est la subtilité : un SPF qui réussit pour le domaine d'un fournisseur, mais pas pour le vôtre, ne suffit pas à lui seul.

Ce que les grands fournisseurs exigent

Gmail publie des règles pour les expéditeurs. Selon la page d'aide de Google (consultée le 1er octobre 2026) :

  • tous les expéditeurs : SPF ou DKIM, des enregistrements DNS directs et inverses valides pour les adresses IP d'envoi, une connexion chiffrée (TLS), et un taux de pourriel déclaré dans les outils Postmaster sous 0,3 % ;
  • plus de 5 000 messages par jour vers Gmail : SPF, DKIM et DMARC, un domaine du From aligné avec le domaine SPF ou DKIM, et, pour les messages marketing et d'abonnement, un désabonnement en un clic.

Retenez le plus simple : publiez les trois, même si votre volume est bas. C'est la configuration que tout le monde attend aujourd'hui, et elle vous protège contre l'usurpation de votre domaine.

Ordre conseillé

  1. DKIM d'abord. Il ne risque pas de casser un envoi existant : c'est une nouvelle clé publiée à une nouvelle adresse du DNS.
  2. SPF ensuite, avec précaution (voir plus bas).
  3. DMARC en dernier, d'abord en observation (p=none), puis resserré.

Avec Duva : ce qui est requis, ce qui est recommandé

Pour vérifier un domaine, Duva exige deux enregistrements :

  • la clé DKIM : un enregistrement TXT à <sélecteur>._domainkey.votre-domaine, dont la valeur est affichée dans l'écran DNS du domaine ;
  • un CNAME de retour : bounce.votre-domaine, vers une cible indiquée. L'adresse de retour de chaque courriel est sur ce sous-domaine, et c'est par là que reviennent les rebonds et les plaintes.

Sont facultatifs, mais recommandés : le SPF à la racine du domaine, DMARC, et le CNAME de suivi track.votre-domaine si vous utilisez le suivi des ouvertures et des clics. Comme l'adresse de retour est sur bounce.votre-domaine, un sous-domaine de votre domaine, DMARC peut s'aligner par DKIM et par le SPF de ce sous-domaine.

L'écran DNS donne les valeurs exactes à copier chez votre hébergeur DNS, et un bouton permet de demander une nouvelle vérification une fois les enregistrements publiés. Voir aussi la FAQ.

SPF : les trois erreurs classiques

Un seul enregistrement SPF par domaine. Si vous en publiez deux, le résultat est invalide. Si votre domaine a déjà un SPF (parce que vous utilisez aussi une suite bureautique ou une plateforme d'infolettres), ajoutez le nouvel include: à l'enregistrement existant. Ne créez jamais un second enregistrement SPF.

exemple.ca.  TXT  "v=spf1 include:_spf.autre-service.com include:_spf.fournisseur.example ~all"

Au plus 10 consultations DNS. La norme SPF limite à dix le nombre de mécanismes qui déclenchent une requête DNS (include, a, mx, redirect...). Au-delà, SPF échoue. Chaque service tiers que vous ajoutez en consomme quelques-unes.

Le « ~all » et le « -all ». ~all (échec « souple ») est la valeur prudente quand on commence. -all (échec « dur ») est plus strict. Ne passez à -all qu'après avoir recensé tous les services qui envoient en votre nom.

DKIM : ce qu'il faut savoir

  • Le sélecteur (le préfixe avant ._domainkey) permet d'avoir plusieurs clés en même temps, par exemple une par fournisseur.
  • Si votre hébergeur DNS limite la longueur d'une valeur TXT, la clé peut devoir être coupée en plusieurs morceaux entre guillemets : c'est normal pour une clé de 2048 bits.
  • Copiez la valeur telle qu'affichée, sans espace ni retour à la ligne ajouté.

DMARC : commencer en observation

Un premier enregistrement raisonnable :

_dmarc.exemple.ca.  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"
  • p=none : n'agit pas sur les messages, mais demande des rapports.
  • rua= : l'adresse où recevoir des rapports agrégés (des fichiers XML, un par fournisseur et par jour).

Lisez les rapports quelques semaines. Ils montrent tout ce qui envoie en votre nom, y compris des services que vous aviez oubliés. Quand tout ce qui est légitime passe, passez à p=quarantine, puis à p=reject si vous voulez bloquer l'usurpation. Chaque étape protège davantage, mais risque de faire disparaître un courriel légitime que vous n'aviez pas recensé.

Chez Duva, lorsque la réception des rapports est activée, la page DMARC du tableau de bord propose un enregistrement prêt à publier, avec l'adresse à placer dans rua, et résume ce que les rapports montrent.

Vérifier ce que vous avez publié

Avec l'outil dig (ou n'importe quelle interface web de consultation DNS) :

dig +short TXT exemple.ca
dig +short TXT selecteur._domainkey.exemple.ca
dig +short TXT _dmarc.exemple.ca
dig +short CNAME bounce.exemple.ca

Puis envoyez-vous un courriel de test à une adresse Gmail et ouvrez « Afficher l'original » : la page indique si SPF, DKIM et DMARC ont réussi, et pour quel domaine.

Les erreurs qui reviennent le plus souvent

  • Deux enregistrements SPF au lieu d'un seul.
  • La clé DKIM copiée avec une coupure ou un guillemet de trop : vérifiez avec dig, pas à l'œil.
  • Un changement qui n'est pas encore propagé. Un enregistrement peut mettre un moment à être visible partout. Redemandez la vérification plus tard avant de conclure que ça ne marche pas.
  • Le nom d'hôte : certains hébergeurs DNS ajoutent automatiquement le nom du domaine. Écrire selecteur._domainkey.exemple.ca dans un champ qui ajoute déjà .exemple.ca donne un nom qui ne fonctionne pas.
  • DMARC en reject trop tôt, avant d'avoir lu un seul rapport.

Sources