Un client vous appelle : il a reçu de votre part une facture avec un nouveau numéro de compte. Sauf que vous ne lui avez jamais envoyé ce message. Ou, à l’inverse, vos vrais e-mails – devis, newsletters, confirmations de commande – finissent systématiquement dans les spams de vos destinataires. Dans les deux cas, le coupable est souvent le même : un nom de domaine dont la messagerie n’est pas authentifiée.
Trois protocoles, SPF, DKIM et DMARC, permettent de régler ce problème. Ils sont gratuits, se configurent dans les DNS de votre domaine, et sont devenus incontournables pour toute entreprise qui envoie des e-mails.
L’usurpation de domaine : comment ça marche ?
Le protocole e-mail a été conçu à une époque où personne ne pensait à la fraude. Par défaut, rien n’empêche un serveur quelconque d’envoyer un message en affichant comme expéditeur facturation@votre-entreprise.be. C’est ce qu’on appelle le spoofing, ou usurpation de domaine.
Les escrocs l’utilisent pour :
- envoyer de fausses factures ou de faux changements de RIB à vos clients et fournisseurs ;
- mener des campagnes de phishing qui profitent de la confiance accordée à votre marque ;
- diffuser du spam qui dégrade la réputation de votre domaine.
Résultat : vos partenaires se méfient, et les fournisseurs de messagerie (Gmail, Outlook, Yahoo…) finissent par considérer tous les messages de votre domaine comme suspects – y compris les légitimes.
SPF, DKIM, DMARC : les trois piliers de l’authentification e-mail
SPF : la liste des serveurs autorisés
Le SPF (Sender Policy Framework) est un enregistrement DNS qui indique quels serveurs ont le droit d’envoyer des e-mails pour votre domaine : votre messagerie Microsoft 365 ou Google Workspace, votre outil de newsletter, votre site WordPress, votre logiciel de facturation…
Exemple d’enregistrement TXT :
v=spf1 include:spf.protection.outlook.com include:_spf.mailchimp.com -all
Le -all final signifie que tout autre serveur doit être rejeté. Attention : un domaine ne peut avoir qu’un seul enregistrement SPF, et celui-ci ne doit pas dépasser 10 recherches DNS.
DKIM : la signature numérique
Le DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque e-mail envoyé. Le serveur destinataire vérifie cette signature grâce à une clé publique publiée dans vos DNS. Si le message a été modifié en route ou ne provient pas d’un service autorisé, la signature ne correspond pas.
Chaque service d’envoi (Microsoft 365, Google Workspace, Brevo, Mailchimp…) fournit ses propres clés DKIM à ajouter dans la zone DNS.
DMARC : la règle du jeu
Le DMARC (Domain-based Message Authentication, Reporting and Conformance) dit aux serveurs destinataires quoi faire lorsqu’un message échoue aux contrôles SPF et DKIM : le laisser passer, le mettre en spam ou le rejeter. Il permet aussi de recevoir des rapports sur les envois réalisés au nom de votre domaine.
Exemple :
v=DMARC1; p=quarantine; rua=mailto:dmarc@votre-entreprise.be
On commence généralement par une politique p=none (simple observation), puis on passe à quarantine et enfin à reject une fois que tous les envois légitimes sont correctement authentifiés.
Pourquoi c’est devenu obligatoire en pratique
Depuis février 2024, Gmail et Yahoo exigent SPF, DKIM et DMARC pour les expéditeurs qui envoient de gros volumes, et Microsoft a annoncé des règles similaires pour Outlook en 2025. Même pour une PME qui envoie peu d’e-mails, un domaine non authentifié a beaucoup plus de chances de voir ses messages filtrés.
Pour une entreprise, l’enjeu dépasse la délivrabilité : c’est aussi une question de confiance et de sécurité. Un DMARC en mode reject empêche les fraudeurs d’envoyer des e-mails crédibles en utilisant votre nom.
Vérifier son domaine en 5 minutes
Des outils gratuits permettent de contrôler la configuration de votre domaine :
- MXToolbox : tests SPF, DKIM, DMARC et vérification des listes noires ;
- Internet.nl : un test complet de la messagerie et du site web (authentification, chiffrement, standards modernes) ;
- l’en-tête d’un e-mail reçu dans Gmail (« Afficher l’original ») indique si SPF, DKIM et DMARC sont validés.
Si l’un des trois est absent ou en échec, votre domaine est exposé.
Agence web, hébergeur, informaticien : qui doit s’en occuper ?
C’est souvent là que le bât blesse. Le nom de domaine a parfois été enregistré par l’agence qui a créé le site, les DNS sont gérés chez l’hébergeur, la messagerie tourne sur Microsoft 365 et la newsletter part d’un autre outil. Chacun pense que l’autre s’en charge… et personne ne configure DMARC.
L’agence web intervient sur le site et peut ajouter les enregistrements liés aux formulaires ou à WordPress. Mais l’authentification de la messagerie, la protection contre le phishing et la gestion des comptes e-mail relèvent de la sécurité informatique de l’entreprise dans son ensemble. Pour une PME sans service IT interne, confier ce volet à un prestataire spécialisé permet d’avoir une vision globale : DNS, messagerie, postes de travail et accès, avec un seul interlocuteur responsable.
Le bon réflexe : dresser la liste de tous les services qui envoient des e-mails en votre nom et désigner clairement qui gère la zone DNS.
En résumé
- SPF liste les serveurs autorisés à envoyer vos e-mails.
- DKIM signe chaque message pour prouver son authenticité.
- DMARC indique quoi faire des messages frauduleux et vous en informe.
Ensemble, ces trois protocoles protègent votre réputation, améliorent la délivrabilité de vos e-mails et coupent l’herbe sous le pied des fraudeurs. Quelques lignes dans vos DNS suffisent : autant ne pas attendre qu’un client reçoive une fausse facture à votre nom.
