DMARC, DKIM, SPF : le guide complet anti-spoofing pour les PME en 2026
Un attaquant peut envoyer des emails en se faisant passer pour votre domaine en moins de 10 minutes. Sans SPF, DKIM et DMARC correctement configurés, vos clients, partenaires et fournisseurs peuvent recevoir des phishing signés de votre nom — et vous n'en saurez rien. Voici comment fermer cette porte.
Comprendre les 3 standards en 5 minutes
Sender Policy Framework — la liste blanche des serveurs d'envoi
SPF est une entrée TXT dans votre DNS qui liste les adresses IP et services autorisés à envoyer des emails pour votre domaine. Si un email arrive d'un serveur absent de cette liste, il échoue à la vérification SPF.
v=spf1 include:_spf.google.com include:spf.brevo.com ~all
Signifie : autorise Google Workspace et Brevo à envoyer pour ce domaine. ~all = soft fail pour le reste.
DomainKeys Identified Mail — la signature cryptographique
DKIM ajoute une signature cryptographique à l'en-tête de chaque email. Le serveur destinataire vérifie cette signature via votre DNS. Si l'email a été modifié en transit (attaque MITM), la signature est invalide.
selector1._domainkey IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."
Chaque service d'envoi (Google, Brevo, Mailchimp...) génère ses propres clés DKIM à ajouter à votre DNS.
Domain-based Message Authentication — le chef d'orchestre
DMARC indique aux serveurs destinataires quoi faire des emails qui échouent SPF ou DKIM : les accepter (p=none), les mettre en quarantaine (p=quarantine) ou les rejeter (p=reject). Il active aussi les rapports d'authentification vers votre adresse email.
_dmarc IN TXT "v=DMARC1; p=quarantine; pct=50; rua=mailto:dmarc@votredomaine.fr"
p=quarantine pct=50 : met en quarantaine 50 % des emails en échec (utile lors du déploiement progressif).
Déploiement en 30 jours : la procédure étape par étape
Inventaire de vos flux d'envoi
Listez tous les services qui envoient des emails avec votre domaine : messagerie principale (Google Workspace, Microsoft 365, OVH), plateformes marketing (Brevo, Mailchimp, HubSpot), CRM, plateforme e-commerce, système de facturation, alertes monitoring. Chacun nécessitera une entrée SPF et DKIM.
Configurer SPF
Créez une entrée TXT sur votre domaine racine. Incluez tous les services identifiés. Terminez par ~all (soft fail) pendant la phase de déploiement, jamais par -all (hard fail) tant que vous n'êtes pas sûr de couvrir tous vos flux. Attention : un domaine ne peut avoir qu'un seul enregistrement SPF.
Configurer DKIM pour chaque service
Dans les paramètres DNS de chaque service (Google Admin Console, Brevo, Mailchimp...), générez les clés DKIM et ajoutez les entrées CNAME ou TXT correspondantes à votre DNS. Vérifiez avec un outil comme MXToolbox DKIM Lookup ou mail-tester.com que chaque service signe correctement.
Activer DMARC en mode observation (p=none)
Créez l'entrée DMARC avec p=none et rua=mailto:dmarc@votredomaine.fr. Cette configuration n'agit sur aucun email mais active les rapports d'authentification agrégés. Vous recevrez des XML quotidiens montrant tous les emails envoyés en votre nom et leur statut d'authentification.
Analyser les rapports et corriger
Utilisez un outil de lecture DMARC (Postmark DMARC Digests gratuit, ou DMARC Analyzer payant) pour interpréter les XML. Identifiez les services légitimes qui échouent encore SPF/DKIM et corrigez. Attendez que 95 %+ de vos emails légitimes passent avant de passer à l'étape suivante.
Passer à p=quarantine progressivement
Passez à p=quarantine; pct=10, puis pct=50, puis pct=100 sur 7 jours. Vérifiez que vos emails internes arrivent bien dans la boîte principale (pas les spams). Si des emails légitimes sont bloqués, repassez en p=none le temps de corriger.
Activer p=reject — domaine protégé
Passez à p=reject. À partir de ce moment, tout email qui prétend venir de votre domaine sans passer SPF et DKIM sera rejeté par les serveurs destinataires. Un attaquant ne peut plus envoyer de phishing crédible en usurpant votre identité.
Votre domaine est-il protégé contre le spoofing ?
En 5 minutes, nos experts analysent votre configuration SPF, DKIM et DMARC et vous remettent un rapport de vulnérabilité avec les actions prioritaires. Gratuit, sans engagement.
Vérifier ma configuration email — gratuit →Réponse sous 24h · Sans engagement
Les 5 erreurs les plus fréquentes
-
✕
Plusieurs enregistrements SPF sur le même domaine
Un domaine ne peut avoir qu'un seul enregistrement SPF. Deux entrées TXT SPF s'annulent mutuellement — votre SPF est cassé et vous ne le savez peut-être pas. Fusionnez tous vos include: dans une seule entrée.
-
✕
Activer p=reject sans analyser les rapports d'abord
Sauter l'étape p=none pour aller directement à p=reject bloque vos propres emails légitimes si un service n'était pas couvert par SPF/DKIM. Résultat : vos clients ne reçoivent plus vos factures ou confirmations de commande.
-
✕
Oublier les sous-domaines
Si vous protégez votre-domaine.fr mais pas mail.votre-domaine.fr ou notifications.votre-domaine.fr, un attaquant peut usurper ces sous-domaines. Ajoutez une politique DMARC séparée pour chaque sous-domaine actif, ou utilisez la directive
sp=rejectdans votre DMARC racine. -
✕
Ne pas surveiller les rapports DMARC
DMARC sans surveillance est aveugle. Les rapports agrégés (rua=) vous indiquent si un nouveau service envoie pour votre domaine sans être autorisé — ce qui peut signifier une compromission. Configurez une alerte sur les nouvelles sources inconnues.
-
✕
Dépasser la limite de 10 lookups DNS dans SPF
SPF autorise au maximum 10 requêtes DNS résolues. Si votre entrée SPF inclut trop de services avec des chaînes d'include imbriquées, vous dépassez cette limite — votre SPF est ignoré. Utilisez SPF Flattening pour aplatir vos includes en IPs directes.
Checklist finale : votre domaine est-il protégé ?
${check}
${detail}
Questions fréquentes
Quelle est la différence entre SPF, DKIM et DMARC ?
SPF liste les serveurs autorisés à envoyer pour votre domaine. DKIM signe cryptographiquement chaque email. DMARC orchestre les deux et définit la politique d'action pour les emails qui échouent. Les trois ensemble forment une protection complète contre l'usurpation.
Peut-on activer DMARC en p=reject directement ?
Non recommandé. Commencez toujours par p=none pour observer vos flux réels pendant 2–4 semaines. Passer directement à p=reject sans analyse préalable risque de bloquer vos propres emails légitimes.
DMARC protège-t-il contre le phishing entrant ?
DMARC protège votre domaine contre l'usurpation sortante — empêche un attaquant d'envoyer des emails comme si c'était vous. Il ne protège pas directement contre les phishing qui arrivent dans vos boîtes. Pour la protection entrante, vous avez besoin d'un service de filtrage email avec IA (anti-phishing avancé).
Votre domaine protégé contre le spoofing en 30 jours
Nos experts configurent SPF, DKIM et DMARC pour votre domaine, vérifient tous vos flux d'envoi et mettent en place la surveillance continue. Résultat garanti : zéro spoofing possible depuis votre domaine.
Sécuriser mon domaine maintenant →Diagnostic gratuit · Réponse sous 24h · Aucune obligation