SPF et DMARC : bloquer l’usurpation de votre domaine
Voici un fait qui surprend la plupart des propriétaires de site : par défaut, le protocole e-mail (SMTP) ne vérifie pas l'expéditeur. N'importe qui peut donc envoyer un message en affichant votre domaine comme adresse d'envoi (contact@votredomaine.fr), sans jamais avoir eu accès à votre boîte. C'est précisément le mécanisme de nombreuses campagnes de phishing et d'arnaque, menées au nom de votre marque et au détriment de votre réputation.
Trois mécanismes basés sur le DNS corrigent cette faiblesse historique : SPF, DKIM et DMARC. Ensemble, ils permettent de déclarer qui a le droit d'envoyer des e-mails en votre nom, de prouver l'authenticité de vos messages, et de dire aux serveurs destinataires quoi faire des messages frauduleux. Les publier protège vos clients, vos partenaires… et la délivrabilité de vos propres e-mails légitimes.
SPF, DKIM, DMARC : qui fait quoi
SPF (Sender Policy Framework) est un enregistrement DNS qui liste les serveurs autorisés à envoyer des e-mails pour votre domaine. DKIM (DomainKeys Identified Mail) ajoute à chaque message une signature cryptographique que le destinataire peut vérifier, garantissant que le contenu n'a pas été altéré et provient bien de vous. DMARC (Domain-based Message Authentication) s'appuie sur ces deux briques : il indique aux serveurs destinataires quoi faire d'un message qui échoue aux contrôles, et vous renvoie des rapports sur les envois faits en votre nom.
Le point clé, souvent mal compris : une politique DMARC en p=none se contente d'observer et de rapporter, sans rien bloquer. Beaucoup de domaines s'arrêtent là et croient être protégés alors qu'ils ne le sont pas. Pour réellement bloquer l'usurpation, il faut passer à p=quarantine puis p=reject.
Publier les enregistrements
Ajoutez ces enregistrements TXT dans la zone DNS de votre domaine. Adaptez l'include SPF à votre fournisseur d'e-mail réel (l'exemple utilise Google Workspace) — et n'ayez qu'un seul enregistrement SPF, en y regroupant tous vos expéditeurs.
; SPF (un seul enregistrement, adaptez l’include)
exemple.com. IN TXT "v=spf1 include:_spf.google.com -all"
; DMARC (commencez en p=none pour observer)
_dmarc.exemple.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@exemple.com"Durcir progressivement
La montée en puissance de DMARC se fait en trois temps, pour ne jamais bloquer par erreur vos propres e-mails. Démarrez en p=none et analysez les rapports d'agrégat (champ rua) pendant quelques semaines : ils révèlent tous les services qui envoient en votre nom (votre messagerie, mais aussi votre CRM, votre outil de newsletter, votre boutique…). Assurez-vous que chacun est bien couvert par SPF et DKIM.
Une fois certain que tous vos expéditeurs légitimes sont conformes, passez à p=quarantine : les e-mails frauduleux atterrissent alors en spam chez le destinataire. Enfin, après une nouvelle période d'observation, passez à p=reject : les messages usurpant votre domaine sont purement et simplement refusés. C'est l'objectif final, le seul niveau qui bloque réellement l'usurpation.
Comprendre le « -all » et vérifier
Dans votre SPF, le terminateur compte : -all (hard fail) demande de rejeter tout serveur non listé, c'est la valeur recommandée ; ~all (soft fail) se contente de marquer le message comme suspect. Évitez +all, qui autoriserait tout le monde et annulerait l'intérêt de SPF.
Après publication et propagation DNS, relancez un audit CheckCyber pour confirmer la présence de SPF et la rigueur de votre politique DMARC. Vérifiez aussi vos premiers rapports rua, et envoyez-vous un message de test depuis un service externe pour valider l'ensemble de la chaîne.
[ FAQ // QUESTIONS FRÉQUENTES ]
▸Pourquoi p=none ne suffit pas ?
En p=none, DMARC vous envoie des rapports mais ne demande aucune action aux serveurs destinataires : les e-mails usurpant votre domaine continuent d'être livrés normalement. C'est une étape de transition pour observer, pas une protection. Seuls p=quarantine et surtout p=reject bloquent réellement l'usurpation.
▸Dois-je aussi configurer DKIM ?
Oui, idéalement les trois vont ensemble. DKIM signe cryptographiquement vos messages et renforce DMARC (qui peut s'appuyer sur SPF ou DKIM). La plupart des fournisseurs d'e-mail (Google Workspace, Microsoft 365, votre hébergeur…) fournissent l'enregistrement DKIM à copier dans votre DNS.
▸Passer à p=reject risque-t-il de bloquer mes propres e-mails ?
C'est précisément pour éviter ce risque qu'on procède par étapes. En restant en p=none assez longtemps et en lisant les rapports rua, vous identifiez et corrigez tous vos expéditeurs légitimes avant de durcir. Si chaque service est couvert par SPF/DKIM, le passage à reject ne bloque que les fraudeurs.
[ PASSEZ À L’ACTION ]
Votre site est-il concerné ?
Lancez un audit de surface gratuit et obtenez en quelques secondes la liste exacte de vos failles, avec le correctif pour chacune. Anonyme, sans inscription.
▶ Auditer mon site[ À LIRE AUSSI ]
[ CheckCyber // MIS À JOUR LE 2026-06-29 ]