# SPF, DKIM, DMARC : sécuriser vos emails sans bloquer vos envois

Devis en spam, factures non reçues, domaine usurpé : comprenez ce que SPF, DKIM et DMARC corrigent et comment protéger les envois de votre PME.

Auteur : Frédéric Gilson

Date : 2026-06-23

Catégorie : Messagerie

Étiquettes : Email, SPF, DKIM, DMARC, Délivrabilité

Source : https://test.fluidworkplace.be/blog/spf-dkim-dmarc-pme.html

![Enveloppe kraft et feuille blanche posées sur une surface claire.](https://test.fluidworkplace.be/static/assets/blog/messagerie-1440.491ef1dc71fa.webp)

Photo : [Kate Macate](https://unsplash.com/@katemacate) / [Unsplash](https://unsplash.com/photos/white-paper-and-brown-envelope-xmddEHyCisc).

Un client attend votre devis. Vous l’avez envoyé hier, il figure dans vos messages envoyés, mais le client ne le retrouve pas. Pendant ce temps, les factures de votre logiciel de gestion semblent moins bien arriver que les emails écrits depuis Outlook.

Pour une PME, ces incidents représentent des relances, des paiements retardés et une confiance qui s’érode. Une authentification mal configurée peut les expliquer. Elle peut aussi laisser des tiers utiliser votre nom de domaine dans de faux messages.

SPF, DKIM et DMARC servent à vérifier l’origine des emails. Si vous dirigez une PME, gérez ses factures ou coordonnez son marketing, vous n’avez pas besoin de maîtriser leur syntaxe. Vous avez surtout besoin de savoir quels envois contrôler et quelle preuve demander à votre prestataire.

## Commencer par le symptôme, avant de modifier le domaine

- **Seules les factures ou les campagnes posent problème.** Comparez leur service d’envoi avec celui d’Outlook : ils peuvent utiliser des serveurs et des signatures différents.
- **Un message revient avec une erreur.** Conservez l’avis de non-remise complet. Son code aide à distinguer un défaut d’authentification, une adresse inexistante ou une autre cause.
- **Les messages arrivent, mais dans les indésirables.** Faites vérifier l’authentification, puis la réputation de l’expéditeur, les liens et les pratiques d’envoi. Un classement en spam ne prouve pas, à lui seul, un défaut DNS.

Pour faire avancer le diagnostic, rassemblez deux ou trois exemples : service utilisé, destinataire, date et heure, avis de rejet éventuel. Si un destinataire peut fournir les en-têtes du message reçu, votre prestataire pourra examiner les contrôles effectués à l’arrivée.

## Trois contrôles, trois rôles complémentaires

Votre domaine est la partie après le `@` dans votre adresse professionnelle. Ses réglages DNS publient notamment les informations nécessaires à ces contrôles.

| Mécanisme | Ce qu’il vérifie | L’enjeu pour votre PME |
| --- | --- | --- |
| **SPF** | Le serveur d’envoi est-il autorisé pour le domaine de l’adresse technique de retour ? Cette adresse peut différer de l’expéditeur affiché. | Identifier les sources d’envoi autorisées pour ce domaine. |
| **DKIM** | La signature du message est-elle valide pour le domaine qui l’a signé ? Elle protège les parties signées contre les modifications. | Faire signer vos envois par vos services légitimes. |
| **DMARC** | Au moins un contrôle SPF ou DKIM réussit-il avec un domaine cohérent avec l’expéditeur affiché ? | Relier l’authentification à votre identité visible et demander un traitement des messages qui échouent. |

C’est cette cohérence, appelée **alignement**, qui évite de confondre « le message est authentifié pour le domaine d’un fournisseur » avec « le message est authentifié pour votre entreprise ». Les mécanismes et leurs limites sont détaillés dans la [documentation Microsoft sur l’authentification des emails](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-about).

## Le piège classique : Outlook fonctionne, donc tout semble en ordre

Prenons un exemple fictif : une PME utilise Microsoft 365 pour ses échanges, un logiciel de facturation, une plateforme de newsletter et un formulaire sur son site. Les quatre envoient avec une adresse de l’entreprise, mais ils ne passent pas nécessairement par le même service.

Un test depuis Outlook valide uniquement ce parcours. Il ne dit rien sur la facture envoyée automatiquement en fin de mois.

Le logiciel de facturation peut, par exemple, réussir SPF pour le domaine de son éditeur tout en affichant votre domaine comme expéditeur. Sans SPF ou DKIM aligné avec votre domaine, DMARC peut échouer. La correction consiste alors à configurer l’authentification de votre domaine dans cet outil, selon les possibilités de l’éditeur. Ajouter systématiquement une ligne au SPF principal ne suffit pas. Microsoft décrit ce [cas d’échec d’alignement avec un service tiers](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dmarc-configure#alignment-failure-diagnosis).

Pour un formulaire, faites aussi vérifier l’adresse d’expédition : utiliser l’adresse du visiteur comme expéditeur revient à envoyer au nom d’un domaine que vous ne contrôlez pas. Une adresse de votre domaine, authentifiée, peut servir d’expéditeur ; l’adresse du visiteur peut rester l’adresse de réponse.

## Une mise en place en cinq étapes

### 1\. Recenser tout ce qui envoie des emails

Listez la messagerie, les factures, le CRM, les newsletters, le site, les notifications métier et les équipements éventuels. Pour chaque source, notez qui la gère et quelle adresse elle utilise. Pensez aux envois peu fréquents : relances mensuelles, inscriptions ou confirmations de commande.

### 2\. Vérifier SPF et activer DKIM sur les bons domaines

Le contrôle SPF doit tenir compte du domaine technique réellement utilisé par chaque service. Pour un même domaine, il faut un seul enregistrement SPF, avec les sources utiles regroupées. L’évaluation est limitée à **10 recherches DNS** ; empiler les fournisseurs peut dépasser cette limite, même avec moins de dix ajouts. Voir les [règles SPF de Microsoft](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-spf-configure).

Dans Microsoft 365, faites vérifier DKIM pour votre domaine personnalisé : les enregistrements DNS et l’activation doivent correspondre aux valeurs fournies pour votre environnement. Les autres outils d’envoi ont leur propre configuration. La [procédure DKIM de Microsoft](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dkim-configure) précise les vérifications nécessaires.

### 3\. Observer DMARC avant de renforcer la politique

Une politique `p=none` permet d’observer les résultats, avec des rapports agrégés si leur réception est configurée. Elle ne demande pas aux destinataires de bloquer les messages qui échouent. Désignez une personne pour lire ces rapports et identifier les sources inconnues ou mal configurées.

L’observation doit couvrir vos vrais usages, y compris la facturation et les campagnes occasionnelles. Un rapport reçu sans être analysé n’apporte pas de suivi utile.

### 4\. Renforcer après validation des envois légitimes

Passez progressivement à `p=quarantine`, puis à `p=reject`, après correction et vérification des flux. Ces politiques demandent respectivement de traiter les échecs comme suspects ou de les refuser ; le destinataire garde ses propres règles de traitement. Cette [progression est recommandée par Microsoft](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dmarc-configure).

### 5\. Tester chaque service et suivre les changements

Envoyez des messages depuis chaque outil vers plusieurs services de réception. Vérifiez les résultats d’authentification, les rejets et le classement observé. Reprenez ces contrôles lors d’un changement de logiciel, de domaine ou de prestataire : une configuration correcte aujourd’hui peut devenir incomplète demain.

## Ce que ces réglages ne garantissent pas

**Un email authentifié peut encore arriver en spam.** Gmail tient notamment compte des signalements et impose des exigences supplémentaires aux gros expéditeurs. Vos campagnes doivent aussi respecter les attentes des destinataires et permettre une désinscription simple. Les [consignes officielles de Gmail](https://support.google.com/a/answer/81126) distinguent les exigences selon les volumes d’envoi.

DMARC réduit l’usurpation directe de votre domaine. Il n’empêche pas un fraudeur d’utiliser un domaine ressemblant au vôtre, un nom affiché trompeur ou un compte légitime compromis. Il complète donc la protection des comptes et les vérifications métier, notamment lorsqu’un fournisseur demande un changement de coordonnées bancaires.

## Ce qu’il faut demander à votre prestataire

Demandez un résultat vérifiable : **la liste des services d’envoi, les résultats SPF/DKIM/DMARC par service, la politique DMARC appliquée et le responsable du suivi**. C’est plus utile qu’une simple réponse « les DNS sont corrects ».

Pour préparer une [vérification de votre messagerie professionnelle](/messagerie-pro.html), indiquez votre domaine, vos outils d’envoi et quelques incidents précis. Vous pourrez ainsi cibler les corrections qui protègent vos échanges avec les clients.

*Article révisé le 3 octobre 2026 ; références officielles consultées à cette date.*

[Faire vérifier votre messagerie](/messagerie-pro.html)