Sécurité des e-mails : que sont SPF, DKIM et DMARC ?

Trois méthodes basées sur le DNS évitent que vos e-mails finissent en spam et empêchent l’usurpation de votre domaine : SPF, DKIM et DMARC. Elles fonctionnent ensemble.

SPF (Sender Policy Framework)

Il publie, sous forme d’enregistrement TXT dans le DNS, la liste des serveurs autorisés à envoyer des e-mails pour votre domaine. Le serveur destinataire vérifie si le message provient d’un serveur autorisé.

Exemple : v=spf1 include:_spf.exemple-fournisseur.fr ~all

DKIM (DomainKeys Identified Mail)

Il ajoute une signature numérique aux e-mails sortants. La clé publique est publiée sous forme d’enregistrement TXT dans le DNS ; le destinataire vérifie la signature avec elle et sait que le message n’a pas été modifié en route et provient bien de votre domaine. La clé est généralement générée par votre fournisseur de messagerie ou d’hébergement.

DMARC

C’est la politique qui indique au destinataire quoi faire selon les résultats SPF et DKIM : none (rapport uniquement), quarantine (envoyer les messages suspects en spam) ou reject (rejeter). Vous recevez aussi des rapports de synthèse.

Exemple (_dmarc.exemple.fr) : v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr

Par où commencer ?

1. Ajoutez les enregistrements SPF et DKIM fournis par votre fournisseur de messagerie aux paramètres DNS de votre domaine.
2. Activez d’abord DMARC avec p=none et surveillez les rapports pendant quelques semaines.
3. Quand tous les messages légitimes passent SPF ou DKIM, passez à quarantine puis à reject.

Erreurs fréquentes

• Créer plusieurs enregistrements SPF pour un domaine ; il ne doit y en avoir qu’un.
• Utiliser tant d’include dans le SPF que la limite de 10 requêtes DNS est dépassée.
• Passer DMARC directement en reject sans examiner les rapports.

La propagation des modifications DNS peut prendre de quelques minutes à quelques heures. En cas de blocage, ouvrez une demande de support.