SPF, DKIM, DMARC en une phrase chacun
- SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine (un enregistrement TXT qui commence par
v=spf1). - DKIM signe chaque message avec une clé dont la partie publique est publiée dans le DNS, sous un « sélecteur » choisi par votre service d'envoi.
- DMARC dit aux messageries quoi faire d'un e-mail qui échoue à SPF et DKIM : rien (
p=none), le mettre en spam (quarantine) ou le refuser (reject), et où envoyer les rapports.
Les erreurs qui envoient vos e-mails en spam
- Deux enregistrements SPF : la norme impose un seul enregistrement ; avec deux, le SPF échoue pour tout le monde. Fusionnez-les.
- Plus de 10 requêtes DNS : chaque
include:,a,mxouredirectcompte, y compris ceux des services inclus. Au-delà de 10, le SPF est invalide (RFC 7208). - +all autorise la planète entière à écrire en votre nom : à remplacer par
~allou-all. - DMARC absent : votre domaine peut être usurpé sans que personne ne bloque les faux messages. Commencez par
v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr, lisez les rapports, puis passez enquarantine. - Clé DKIM de 1024 bits : encore acceptée, mais 2048 bits est la recommandation actuelle.
Pourquoi le DKIM n'est-il « pas trouvé » ?
Un enregistrement DKIM se trouve à une adresse qui dépend de votre service d'envoi (par exemple google._domainkey ou selector1._domainkey). Il n'existe aucune liste publique des sélecteurs d'un domaine : nous testons les plus courants. Si le vôtre n'est pas dans la liste, saisissez-le dans le champ « sélecteur » ; vous le trouverez dans l'en-tête DKIM-Signature d'un e-mail reçu (paramètre s=).
Et après le test ?
Ces enregistrements se modifient dans la zone DNS de votre domaine, chez votre registrar ou votre hébergeur. Les guides officiels de Google pour les expéditeurs détaillent les exigences actuelles. Une protection e-mail correcte fait aussi partie de la sécurité d'un nom de domaine, avec le DNSSEC et le verrou de transfert. Si vos messages restent bloqués, vérifiez que votre domaine n'est pas inscrit sur une liste noire anti-spam.
Questions fréquentes
Comment vérifier mon enregistrement SPF ?
Entrez votre domaine dans l'outil : il affiche l'enregistrement SPF, compte les requêtes DNS qu'il déclenche (10 au maximum) et signale un doublon ou un « +all » trop permissif.
Quelle politique DMARC choisir ?
Démarrez en p=none avec une adresse de rapports (rua) pendant quelques semaines, le temps d'identifier tous vos services d'envoi, puis passez en quarantine et enfin en reject.
SPF et DKIM suffisent-ils sans DMARC ?
Pour un petit volume, Gmail accepte SPF ou DKIM. Mais sans DMARC, rien n'empêche un fraudeur d'envoyer des e-mails avec votre adresse dans le champ « De » : c'est DMARC qui relie l'expéditeur affiché aux contrôles SPF et DKIM.
Combien de temps faut-il pour qu'une modification DNS soit prise en compte ?
En général quelques minutes à quelques heures, selon la durée de cache (TTL) de l'enregistrement. Relancez le test après ce délai.