SPF DKIM DMARC : comprendre, configurer et éviter les emails en spam

Lorsqu’on envoie un email depuis son nom de domaine, on s’attend à ce qu’il arrive dans la boîte de récep­tion du des­ti­na­taire. Pour­tant, de nom­breuses per­sonnes ren­contrent le même pro­blème : des emails qui arrivent en spam, ou qui ne sont jamais reçus. Dans la majo­ri­té des cas, ce pro­blème n’est pas lié au conte­nu du mes­sage, mais à l’absence ou à une mau­vaise confi­gu­ra­tion de SPF DKIM DMARC.
SPF DKIM DMARC sont aujourd’hui des méca­nismes indis­pen­sables pour prou­ver aux ser­veurs de mes­sa­ge­rie que vos emails sont légi­times. Sans eux, même un email par­fai­te­ment rédi­gé peut être bloqué.

Pourquoi ça s’appelle SPF, DKIM et DMARC ?

SPF pour Sender Policy Framework

SPF signi­fie Sen­der Poli­cy Fra­me­work, que l’on peut tra­duire par « cadre de règles pour l’expéditeur ».
Ce nom explique l’idée prin­ci­pale de SPF : défi­nir une poli­tique indi­quant quels ser­veurs sont auto­ri­sés à envoyer des emails pour un nom de domaine don­né. SPF ne véri­fie pas le conte­nu du mes­sage, mais uni­que­ment l’origine de l’envoi.
SPF répond à la ques­tion : » Ce ser­veur a‑t-il le droit d’envoyer des emails pour ce domaine ? »

DKIM pour DomainKeys Identified Mail

DKIM signi­fie Domain­Keys Iden­ti­fied Mail, que l’on peut tra­duire par « cour­rier iden­ti­fié par des clés de domaine ».
Le terme Domain­Keys fait réfé­rence à l’utilisation de clés cryp­to­gra­phiques asso­ciées au nom de domaine. Le mot Iden­ti­fied indique que l’email peut être iden­ti­fié comme légi­time, et Mail pré­cise qu’il s’agit bien du cour­rier élec­tro­nique.
DKIM sert à signer les emails afin que le ser­veur de récep­tion puisse véri­fier leur authen­ti­ci­té et s’assurer qu’ils n’ont pas été modi­fiés.
DKIM répond à la ques­tion : « Cet email est-il bien authen­tique et intact ? »

DMARC pour Domain-based Message Authentication, Reporting and Conformance

DMARC signi­fie Domain-based Mes­sage Authen­ti­ca­tion, Repor­ting and Confor­mance, ce qui peut se tra­duire par « authen­ti­fi­ca­tion des mes­sages basée sur le domaine, avec rap­ports et confor­mi­té ».
DMARC rem­plit plu­sieurs rôles. Il s’appuie sur l’authentification du domaine, indique com­ment les mes­sages doivent être trai­tés en cas d’échec, et per­met de rece­voir des rap­ports sur l’utilisation du domaine.
DMARC ne rem­place pas SPF ou DKIM, mais les coor­donne et explique com­ment les uti­li­ser ensemble.
DMARC répond à la ques­tion : « Que faut-il faire si l’email n’est pas conforme, et com­ment en être informé ? »

En résu­mé :
SPF dit qui a le droit d’envoyer.
DKIM dit si le mes­sage est authen­tique.
DMARC dit quoi faire en cas de pro­blème.

Alors, pourquoi SPF DKIM DMARC sont devenus indispensables

Les four­nis­seurs de mes­sa­ge­rie doivent faire face à des volumes impor­tants de spam et de ten­ta­tives de fraude. Pour pro­té­ger leurs uti­li­sa­teurs et uti­li­sa­trices, ils ne font plus confiance aux emails, par défaut. Chaque mes­sage est ana­ly­sé et doit prou­ver qu’il pro­vient bien du domaine indiqué.

Sans SPF DKIM DMARC, les ser­veurs de mes­sa­ge­rie ne savent pas si vos emails sont légi­times. « Par pré­cau­tion », ils prennent leurs propres déci­sions, qui se tra­duisent le plus sou­vent par un clas­se­ment en spam ou un rejet des mes­sages.

Ain­si, SPF DKIM DMARC per­mettent pré­ci­sé­ment d’éta­blir cette confiance. Ils indiquent qui a le droit d’envoyer des emails, garan­tissent que le mes­sage n’a pas été modi­fié et expliquent aux ser­veurs com­ment réagir en cas de problème. 

SPF DKIM DMARC : trois mécanismes complémentaires

SPF DKIM DMARC fonc­tionnent ensemble et rem­plissent cha­cun un rôle pré­cis. Comme dit plus haut, SPF per­met de décla­rer quels ser­veurs sont auto­ri­sés à envoyer des emails pour votre domaine. DKIM ajoute une signa­ture numé­rique aux emails afin de garan­tir leur authen­ti­ci­té et leur inté­gri­té. DMARC, enfin, relie SPF et DKIM et indique aux ser­veurs de récep­tion quelle action adop­ter lorsqu’un email échoue aux contrôles.
C’est cette com­bi­nai­son qui per­met aujourd’hui d’assurer une bonne déli­vra­bi­li­té des emails.

Repre­nons de manière plus concrète ce qui a été dit plus haut.

SPF : autoriser les serveurs d’envoi

SPF est le pre­mier pilier de SPF DKIM DMARC. Il repose sur un enre­gis­tre­ment DNS qui liste les ser­veurs auto­ri­sés à envoyer des emails pour votre domaine. Lorsqu’un email est reçu, le ser­veur du des­ti­na­taire véri­fie si le ser­veur expé­di­teur figure bien dans cette liste.
Si ce n’est pas le cas, l’email est consi­dé­ré comme sus­pect. Sans SPF cor­rec­te­ment confi­gu­ré, vos emails peuvent être reje­tés, même si DKIM et DMARC sont présents.

DKIM : signer les emails pour garantir leur intégrité

DKIM est le deuxième pilier de SPF DKIM DMARC. Il fonc­tionne grâce à une signa­ture cryp­to­gra­phique ajou­tée auto­ma­ti­que­ment à chaque email envoyé. Cette signa­ture est véri­fiée à la récep­tion à l’aide d’une clé publique publiée dans le DNS de votre domaine.
Grâce à DKIM, le ser­veur des­ti­na­taire peut confir­mer que l’email pro­vient bien de votre domaine et qu’il n’a pas été modi­fié pen­dant le trans­port. DKIM ren­force for­te­ment la cré­di­bi­li­té de vos emails.

DMARC : coordonner SPF et DKIM

DMARC est le troi­sième pilier de SPF DKIM DMARC et joue un rôle cen­tral. Sans DMARC, les ser­veurs de récep­tion savent si SPF ou DKIM échouent, mais ne savent pas quoi faire de cette infor­ma­tion. DMARC per­met de leur don­ner des consignes claires.
Avec DMARC, vous indi­quez si les emails non conformes doivent être accep­tés, pla­cés en spam ou reje­tés. DMARC per­met éga­le­ment de rece­voir des rap­ports auto­ma­tiques sur l’utilisation de votre domaine pour l’envoi d’emails.

Tester SPF DKIM DMARC avec Mail-Tester

Afin de voir si SPF DKIM DMARC sont confi­gu­rés cor­rec­te­ment, vous pou­vez véri­fier que tout fonc­tionne cor­rec­te­ment. L’outil Mail-Tes­ter vous per­met de faire ce contrôle très sim­ple­ment.
Le site four­nit une adresse email tem­po­raire vers laquelle il suf­fit d’envoyer un mes­sage depuis votre adresse pro­fes­sion­nelle. Mail-Tes­ter ana­lyse ensuite l’email reçu et véri­fie la pré­sence et la vali­di­té de SPF DKIM DMARC.

Le résul­tat prend la forme d’un score accom­pa­gné d’explications. Mail-Tes­ter indique clai­re­ment si SPF DKIM DMARC sont bien détec­tés ou s’il manque un élé­ment. En cas de pro­blème, il pré­cise géné­ra­le­ment ce qui doit être corrigé.

Si Mail-Tes­ter signale une absence ou une erreur DMARC, la solu­tion consiste à retour­ner dans le cPa­nel o2switch, dans Email Deli­ve­ra­bi­li­ty, et à acti­ver ou cor­ri­ger l’enregistrement proposé.

SPF DKIM DMARC chez o2switch

Chez o2switch, la confi­gu­ra­tion de SPF DKIM DMARC est sim­pli­fiée. Le SPF est géné­ra­le­ment actif par défaut et le DKIM peut être acti­vé auto­ma­ti­que­ment. Ces para­mètres sont acces­sibles dans le cPa­nel, dans la sec­tion Email Deli­ve­ra­bi­li­ty.
Pour chaque domaine, l’interface indique clai­re­ment si SPF et DKIM sont cor­rec­te­ment confi­gu­rés. En cas de pro­blème, une cor­rec­tion auto­ma­tique est proposée.

Que faire si DMARC n’est pas activé ?

Il arrive fré­quem­ment que SPF et DKIM soient actifs, mais qu’aucun enre­gis­tre­ment DMARC ne soit pré­sent. Dans ce cas, SPF DKIM DMARC ne fonc­tionnent pas plei­ne­ment ensemble et la pro­tec­tion reste incom­plète.

Dans le cPa­nel o2switch, la sec­tion Email Deli­ve­ra­bi­li­ty indique si un enre­gis­tre­ment DMARC est détec­té. S’il est absent, o2switch pro­pose géné­ra­le­ment d’en créer un auto­ma­ti­que­ment. Il est for­te­ment recom­man­dé d’accepter cette pro­po­si­tion.

L’enregistrement DMARC géné­ré par défaut adopte une poli­tique pru­dente. Il per­met d’observer le com­por­te­ment des emails sans blo­quer les mes­sages légi­times. Cette approche est idéale pour les débu­tants et per­met d’améliorer la répu­ta­tion du domaine sans risque.

Une fois DMARC acti­vé, SPF DKIM DMARC fonc­tionnent ensemble et les ser­veurs de récep­tion dis­posent enfin d’instructions claires.

Faut-il aller plus loin avec DMARC ?

Une fois SPF DKIM DMARC cor­rec­te­ment confi­gu­rés et vali­dés, il est pos­sible, dans un second temps, de ren­for­cer la poli­tique DMARC. Cette étape n’est pas obli­ga­toire et concerne sur­tout les domaines for­te­ment expo­sés.
Pour un usage clas­sique, la confi­gu­ra­tion par défaut pro­po­sée par o2switch est suf­fi­sante et répond aux exi­gences actuelles des four­nis­seurs de messagerie.

Ain­si, SPF DKIM DMARC sont aujourd’hui indis­pen­sables pour garan­tir la bonne déli­vra­bi­li­té de vos emails et pro­té­ger votre nom de domaine. Sans eux, vos mes­sages risquent d’être blo­qués ou uti­li­sés à des fins malveillantes.

Grâce aux outils inté­grés dans le cPa­nel o2switch et à des ser­vices de véri­fi­ca­tion comme Mail-Tes­ter, la confi­gu­ra­tion de SPF DKIM DMARC est acces­sible à tout le monde, même sans connais­sances tech­niques. En quelques véri­fi­ca­tions simples, vous pou­vez sécu­ri­ser dura­ble­ment l’envoi de vos emails et évi­ter de nom­breux problèmes.