Guides · E-mail et domaines

SPF, DKIM et DMARC expliqués : pourquoi vos e-mails finissent en spam

Écrit par Aldo · threat hunter en blue team
Dernière mise à jour le 9 novembre 2026 · 6 min de lecture

Vos factures arrivent dans les spams de vos clients, ou reviennent carrément. Neuf fois sur dix, le contenu n'y est pour rien. Les serveurs destinataires n'arrivent simplement pas à confirmer que l'e-mail vient vraiment de votre domaine. Trois enregistrements DNS en décident.

Les trois enregistrements en termes simples

SPF : qui a le droit d'envoyer

SPF est un enregistrement TXT de votre domaine qui liste les serveurs autorisés à envoyer ses e-mails. Un exemple typique, pour une entreprise qui utilise Google Workspace et un outil de newsletter :

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

Chaque include: intègre la liste d'un fournisseur. La fin dit quoi faire de tout le reste : -all signifie « rejeter », ~all « traiter avec méfiance ». SPF vérifie l'expéditeur caché de l'enveloppe (le Return-Path), pas la ligne From que voient les gens : c'est pourquoi il ne suffit pas à lui seul.

Le piège : SPF autorise au maximum dix requêtes DNS pendant son évaluation. Chaque include, a, mx et exists compte, y compris ceux qui se trouvent dans les listes des fournisseurs. Ajoutez un service de trop et SPF échoue pour tous les messages, sans bruit.

DKIM : une signature sur chaque message

Votre service de messagerie signe chaque message sortant avec une clé privée et publie la clé publique dans le DNS sous un sélecteur, à l'adresse selecteur._domainkey.votredomaine. Le destinataire vérifie la signature ; si elle correspond, le message est vraiment passé par un serveur qui détient votre clé et n'a pas été modifié en route. Les enregistrements DKIM ne s'écrivent pas à la main : chaque service de messagerie vous donne l'enregistrement à publier, et vous activez la signature dans ses réglages.

DMARC : rattacher le tout à l'adresse From, et fixer une politique

DMARC se trouve à l'adresse _dmarc.votredomaine. Il dit : un message ne passe que si SPF ou DKIM réussit pour le même domaine que l'adresse From (c'est ce qu'on appelle l'alignement), et voici quoi faire sinon.

v=DMARC1; p=none; rua=mailto:dmarc-reports@votredomaine

p=none se contente de collecter des rapports ; p=quarantine envoie les échecs en spam ; p=reject les refuse. L'adresse rua reçoit chaque jour des rapports de synthèse des grands destinataires, avec chaque serveur qui a envoyé des e-mails en se faisant passer pour vous. Ce sont ces rapports qui vous font découvrir les services oubliés.

Un exemple concret : un domaine qui n'envoie aucun e-mail

Nous avons lancé l'analyse de domaine d'iplover sur example.com, le domaine de documentation, le 9 novembre 2026. Sa section e-mail, telle qu'affichée :

Voilà à quoi doit ressembler un domaine qui n'envoie jamais d'e-mails, et cela vaut la peine de le copier pour tout domaine que vous possédez sans l'utiliser pour la messagerie :

• v=spf1 -all n'autorise aucun serveur : tout message qui prétend venir de ce domaine échoue donc à SPF.
• p=reject avec sp=reject demande aux destinataires de refuser les échecs pour le domaine et ses sous-domaines. adkim=s et aspf=s exigent un alignement exact (strict) au lieu d'accepter les sous-domaines.
• Un enregistrement MX nul indique que le domaine n'accepte pas non plus de courrier.

La remarque sur DKIM reconnaît sa limite : aucune clé sur les sélecteurs essayés. Un domaine qui n'envoie rien n'a aucune raison d'en publier une. Pour un domaine qui envoie, « aucune clé » peut aussi vouloir dire un sélecteur que nous n'avons pas deviné ; les en-têtes d'un message que vous avez envoyé (cherchez s= dans la ligne DKIM-Signature) vous donnent le vrai.

Vérifier votre propre domaine

dig +short TXT votredomaine.fr | grep spf1
dig +short TXT _dmarc.votredomaine.fr
dig +short TXT selecteur._domainkey.votredomaine.fr   # utilisez votre vrai sélecteur

Sous Windows : nslookup -type=TXT _dmarc.votredomaine.fr. Ou lancez l'analyse de domaine, qui fait tout cela et compte les requêtes SPF pour vous.

Le meilleur test de tous : envoyez un message à un compte Gmail que vous contrôlez, ouvrez-le, choisissez Afficher l'original et lisez les lignes SPF, DKIM et DMARC en haut. C'est exactement ce que le destinataire a conclu à votre sujet.

Si vos e-mails finissent en spam : la liste des corrections

Quand les rapports ne montrent plus que vos propres services qui réussissent, durcissez DMARC pas à pas : p=quarantine, puis p=reject. Passer directement à reject avant d'avoir trouvé tous les expéditeurs, c'est ainsi que des entreprises perdent leurs propres factures.

Ce que ces enregistrements ne peuvent pas faire

SPF, DKIM et DMARC protègent votre domaine exact contre la falsification. Ils n'empêchent pas quelqu'un d'enregistrer un domaine ressemblant, ne rendent pas le courrier indésirable bienvenu, et ne disent rien de l'honnêteté du contenu d'un message. C'est le minimum pour que les destinataires fassent confiance à votre domaine, pas une garantie d'arriver en boîte de réception.