SPF, DKIM et DMARC : le guide simple pour que vos e-⁠mails arrivent en boîte de réception

Vos e-mails partent, mais une partie n'arrive jamais en boîte de réception. Dans la plupart des cas, la cause n'est ni le contenu ni l'objet : c'est l'authentification du domaine. Trois enregistrements DNS, SPF, DKIM et DMARC, permettent aux messageries de vérifier que vos e-mails viennent bien de vous. Sans eux, Gmail, Yahoo ou Outlook ont toutes les raisons de vous classer en spam, voire de refuser vos messages.

Ce guide explique, sans jargon, ce que fait chacun des trois, ce que les grandes messageries exigent depuis 2024, et comment les mettre en place.

Pourquoi l'authentification décide de la délivrabilité

N'importe qui peut écrire « De : contact@votre-marque.fr » dans un e-mail. C'est tout le principe de l'usurpation d'identité (le spoofing) qui alimente l'hameçonnage. Pour s'en protéger, les messageries vérifient trois choses avant de distribuer un message :

• le serveur qui envoie a-t-il le droit d'envoyer pour ce domaine (SPF) ;
• le message a-t-il été signé par le domaine et n'a-t-il pas été modifié en route (DKIM) ;
• que doit-on faire si l'une de ces vérifications échoue (DMARC).

Un e-mail qui passe ces contrôles inspire confiance. Un e-mail qui les échoue part avec un handicap, quelle que soit la qualité de votre campagne.

SPF : la liste des serveurs autorisés

Le SPF (Sender Policy Framework) est un enregistrement de type TXT publié dans le DNS de votre domaine. Il liste les services autorisés à envoyer des e-mails en votre nom : votre messagerie professionnelle, votre outil d'emailing, votre logiciel de facturation…

Il ressemble à ceci : v=spf1 include:_spf.votre-outil.fr include:_spf.google.com ~all. Chaque include désigne un service autorisé ; la fin indique comment traiter les autres serveurs.

Deux règles à connaître :

• un seul enregistrement SPF par domaine. Si vous en publiez deux, la vérification échoue ;
• dix consultations DNS au maximum. Chaque include en consomme au moins une : au-delà de dix, le SPF devient invalide. Faites le ménage dans les services que vous n'utilisez plus.

DKIM : la signature qui prouve l'origine du message

Le DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque e-mail. Votre outil d'envoi signe le message avec une clé privée ; la clé publique correspondante est publiée dans votre DNS. La messagerie du destinataire vérifie la signature : si elle est valide, elle sait que le message vient bien de votre domaine et qu'il n'a pas été modifié en chemin.

En pratique, votre outil d'emailing vous fournit un enregistrement à copier (souvent un CNAME ou un TXT avec un nom du type selecteur._domainkey.votre-marque.fr). Vous le publiez une fois ; la signature est ensuite automatique.

DMARC : la règle du jeu en cas d'échec

Le DMARC (Domain-based Message Authentication, Reporting and Conformance) s'appuie sur SPF et DKIM. Il vérifie que le domaine affiché dans le champ « De » correspond au domaine authentifié (c'est l'alignement), et il indique aux messageries ce qu'elles doivent faire quand ce n'est pas le cas :

• p=none : ne rien bloquer, seulement envoyer des rapports. C'est la phase d'observation ;
• p=quarantine : placer les messages suspects en indésirables ;
• p=reject : refuser purement et simplement les messages qui échouent.

Un DMARC complet ressemble à v=DMARC1; p=none; rua=mailto:dmarc@votre-marque.fr. L'adresse rua reçoit des rapports quotidiens qui montrent qui envoie en votre nom. C'est précieux : ils révèlent souvent un outil oublié (formulaire de contact, CRM, facturation) qui envoie sans être authentifié.

Un DMARC laissé indéfiniment en p=none protège peu : c'est une étape, pas une destination.

Ce que Gmail et Yahoo exigent depuis février 2024

Depuis février 2024, Gmail et Yahoo imposent des règles précises aux expéditeurs qui envoient en volume (le seuil cité par Google est d'environ 5 000 messages par jour vers des adresses Gmail) :

• SPF et DKIM configurés sur le domaine d'envoi ;
• un enregistrement DMARC, au minimum en p=none, avec un domaine « De » aligné ;
• une désinscription en un clic dans les e-mails marketing, traitée sous deux jours ;
• un taux de plaintes pour spam maîtrisé, sous le seuil de 0,3 % mesuré par Google.

Microsoft a annoncé des exigences comparables pour Outlook en 2025. Même si vous êtes sous ces seuils, ces règles décrivent ce que les messageries attendent désormais de tout expéditeur sérieux.

Configurer les trois enregistrements, étape par étape

1. Listez vos services d'envoi : messagerie, outil d'emailing, CRM, boutique en ligne, facturation.
2. Publiez ou mettez à jour le SPF chez votre hébergeur DNS, en un seul enregistrement qui les inclut tous.
3. Activez DKIM dans chaque outil d'envoi et publiez les enregistrements fournis.
4. Publiez un DMARC en p=none avec une adresse de rapports, puis lisez les rapports pendant quelques semaines.
5. Montez progressivement à p=quarantine, puis à p=reject, une fois tous vos envois légitimes alignés.
6. Vérifiez en vous envoyant un e-mail : l'en-tête Authentication-Results doit indiquer spf=pass, dkim=pass et dmarc=pass.

Les erreurs les plus fréquentes

• Deux enregistrements SPF publiés par deux prestataires différents : aucun n'est alors valide.
• Trop d'include accumulés au fil des années, qui dépassent la limite de dix consultations.
• Un outil oublié qui envoie depuis votre domaine sans être authentifié, et que DMARC finit par bloquer.
• Un DMARC jamais suivi : sans lecture des rapports, vous ne savez pas ce qui échoue.
• Les sous-domaines négligés, alors qu'ils peuvent servir à usurper votre identité.

Authentifié ne veut pas dire délivré

L'authentification ouvre la porte ; elle ne garantit pas la boîte de réception. La réputation de votre domaine se construit aussi sur la qualité de votre liste, le taux de plaintes, l'engagement de vos lecteurs et la régularité de vos envois. Une liste propre et des envois réguliers, même modestes, valent mieux que de gros envois espacés vers des adresses inactives. Pour travailler ces leviers, voyez notre guide sur les taux d'ouverture en baisse et celui sur la segmentation e-mail.

Avec Sendly

Dans Sendly, chaque client envoie depuis sa propre instance et son propre domaine. Les trois enregistrements DNS sont guidés pas à pas à l'ouverture de votre espace, et votre domaine d'envoi est le vôtre : sa réputation se construit sur vos propres envois. Chaque e-mail inclut un lien de désinscription en un clic. Découvrez les campagnes e-mail de Sendly ou comparez les offres.