En bref. SPF déclare quels serveurs peuvent envoyer du courrier pour votre domaine, DKIM signe cryptographiquement vos messages, DMARC indique quoi faire quand l’un des deux échoue. Ensemble, ils empêchent qu’un tiers usurpe votre nom de domaine.
Ces trois enregistrements se placent dans la zone DNS du domaine, en quelques lignes. Leur absence a deux conséquences immédiates : n’importe qui peut envoyer un e-mail semblant provenir de votre entreprise, et vos propres messages légitimes finissent plus souvent en indésirables.
Ce que fait chaque mécanisme
| Rôle | Ce qu’il vérifie | Limite | |
|---|---|---|---|
| SPF | Autoriser des serveurs d’envoi | L’adresse IP émettrice figure-t-elle dans la liste ? | Ne survit pas aux redirections |
| DKIM | Signer le message | La signature correspond-elle à la clé publiée ? | Ne dit pas quoi faire en cas d’échec |
| DMARC | Décider et rendre compte | L’expéditeur affiché est-il aligné avec SPF ou DKIM ? | Nécessite SPF et DKIM en place |
Le point clé souvent mal compris est l’alignement : DMARC ne se contente pas de vérifier que SPF ou DKIM passent, il vérifie que le domaine validé correspond bien à celui affiché dans le champ « De ». C’est ce qui bloque réellement l’usurpation.
Mettre en place SPF
- Recenser tous les émetteurs légitimes : messagerie principale, outil d’envoi de newsletters, site web, logiciel de facturation, plateforme de recrutement, service de signature électronique.
- Publier un seul enregistrement SPF pour le domaine. Deux enregistrements provoquent un échec général : c’est l’erreur la plus fréquente.
- Surveiller le nombre de recherches DNS : la norme en limite le nombre, et l’empilement de mécanismes d’inclusion le dépasse rapidement.
- Terminer par une politique stricte une fois la liste stabilisée, plutôt qu’une politique permissive laissée en place « au cas où ».
Mettre en place DKIM
DKIM suppose de générer une paire de clés chez chaque prestataire d’envoi, puis de publier la clé publique dans le DNS sous un sélecteur. Chaque service dispose donc de son propre sélecteur, ce qui permet d’en ajouter et d’en retirer sans perturber les autres. Deux précautions : utiliser une longueur de clé suffisante, et prévoir la rotation périodique des clés — rarement faite, et pourtant simple à planifier.
Déployer DMARC progressivement
C’est l’étape où l’on casse le plus souvent les envois légitimes, faute de progressivité. La méthode éprouvée comporte trois phases :
- Observation : publier une politique sans action, avec une adresse de réception des rapports. Aucun message n’est affecté.
- Analyse : lire les rapports pendant plusieurs semaines pour identifier les sources d’envoi légitimes non alignées — souvent un outil métier oublié ou un prestataire.
- Durcissement : passer progressivement à une politique de mise en quarantaine, puis de rejet, éventuellement sur un pourcentage croissant des messages.
Passer directement au rejet sans phase d’observation bloque presque toujours un flux légitime, généralement celui des factures ou des notifications applicatives.
Ce que cela apporte concrètement
- Protection de la marque : un attaquant ne peut plus envoyer une fausse facture depuis votre domaine — le mode opératoire le plus courant de la fraude au faux fournisseur, décrite dans notre article sur l’hameçonnage.
- Délivrabilité améliorée : les grands fournisseurs de messagerie exigent désormais ces mécanismes pour les envois en volume.
- Visibilité : les rapports révèlent tous les services qui envoient en votre nom, y compris ceux que personne ne se rappelle avoir souscrits.
- Conformité : la maîtrise des flux de messagerie fait partie des mesures attendues au titre de la protection des données — voir nos obligations informatiques du RGPD.
Les compléments utiles
Trois enregistrements supplémentaires méritent d’être envisagés une fois la base en place : la déclaration du service de messagerie pour l’affichage d’un logo vérifié, la publication d’une politique de chiffrement du transport, et la surveillance des sous-domaines, souvent oubliés alors qu’ils sont utilisables pour l’usurpation. La politique DMARC doit d’ailleurs traiter explicitement le cas des sous-domaines, faute de quoi ils héritent d’un traitement plus permissif que prévu.
Des fiches pratiques sur la sécurisation de la messagerie sont disponibles sur cybermalveillance.gouv.fr.
Les erreurs les plus fréquentes
- Deux enregistrements SPF sur le même domaine, qui invalident la vérification.
- Oublier un émetteur lors du recensement, typiquement le formulaire de contact du site.
- Publier DMARC en rejet immédiat, sans phase d’observation.
- Ne jamais lire les rapports, ce qui prive le dispositif de son intérêt principal.
- Ignorer les sous-domaines et les domaines annexes détenus par l’entreprise, y compris ceux qui n’envoient pas de courrier : ils doivent être protégés aussi.
La configuration s’inscrit dans une bonne hygiène générale du système, au même titre que le paramétrage des systèmes et la gestion des mises à jour de sécurité.
Questions fréquentes
Faut-il les trois, ou SPF suffit-il ?
SPF seul ne protège pas contre l’usurpation du champ « De » affiché à l’utilisateur. C’est DMARC, adossé à SPF et DKIM, qui apporte cette protection.
Combien de temps pour déployer ?
Quelques minutes pour publier les enregistrements, mais plusieurs semaines pour passer sereinement en rejet, le temps d’analyser les rapports et de régulariser les émetteurs oubliés.
Cela bloque-t-il les redirections de courrier ?
SPF échoue sur les redirections, mais DKIM y survit : c’est précisément pourquoi les deux sont nécessaires. Un message redirigé reste validé par sa signature.
Faut-il protéger un domaine qui n’envoie aucun e-mail ?
Oui, et c’est même prioritaire : un domaine sans politique est un domaine usurpable. Une politique de rejet stricte s’y publie sans aucun risque.
Conclusion
SPF, DKIM et DMARC constituent l’un des meilleurs rapports effort-protection de la sécurité informatique : quelques lignes de configuration, quelques semaines d’observation, et une famille entière d’attaques par usurpation devient impraticable contre votre domaine.
