mark_email_read Audit DNS Email (SPF, DKIM, DMARC) star

Comment fonctionne l'authentification des e-mails

Trois enregistrements DNS agissent ensemble pour empêcher qu'on envoie du courrier falsifié semblant provenir de votre domaine. SPF (Sender Policy Framework) publie une liste de serveurs explicitement autorisés à envoyer du courrier pour le domaine — un serveur récepteur vérifie l'IP qui se connecte par rapport à cette liste. DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque message sortant ; le serveur récepteur récupère votre clé publique dans le DNS et vérifie que la signature n'a pas été altérée en transit, ce que le SPF seul ne peut pas détecter. DMARC (Domain-based Message Authentication, Reporting and Conformance) relie les deux : il indique aux serveurs récepteurs quoi faire lorsque SPF ou DKIM échoue — ne rien faire, envoyer en spam, ou rejeter carrément — et il demande des rapports agrégés afin que vous puissiez voir qui envoie réellement du courrier au nom de votre domaine, usurpateurs compris.

Exemple concret : sans aucun de ces trois enregistrements, un attaquant peut envoyer un e-mail qui semble provenir de [email protected], et la plupart des serveurs de messagerie le livreront directement dans la boîte de réception du destinataire sans aucun avertissement affiché. Saisissez votre domaine dans l'outil ci-dessus : il interroge MX, SPF, DKIM (en essayant automatiquement les sélecteurs courants) et DMARC via DNS-over-HTTPS, puis signale exactement ce qui manque : aucun enregistrement SPF, une politique DMARC bloquée sur p=none (surveillance seule, aucune protection réelle), deux enregistrements SPF concurrents (une violation des normes qui casse entièrement la validation), ou un mécanisme all manquant à la fin de la chaîne SPF.

Ce qu'il faut savoir

Mettre correctement en place ces trois enregistrements n'est pas facultatif pour quiconque se soucie de la réputation de sa marque ou de la délivrabilité en boîte de réception — un domaine présentant des lacunes en SPF, DKIM ou DMARC est à la fois plus facile à usurper et plus susceptible de voir son propre courrier légitime redirigé vers le spam, car les grands fournisseurs comme Gmail, Yahoo et Outlook exigent de plus en plus une authentification complète avant de faire confiance à un expéditeur. Le déploiement est sûr s'il est fait dans l'ordre : publiez d'abord le SPF, ajoutez la signature DKIM via votre fournisseur de messagerie, puis ajoutez un DMARC en commençant par p=none afin de pouvoir observer les rapports agrégés sans risquer le courrier réel — ne passez en quarantaine ou en rejet qu'une fois chaque source d'envoi légitime, comme les outils marketing, un CRM ou un système de tickets, confirmée et alignée.

• Un domaine ne peut avoir qu'un seul enregistrement TXT SPF — si vous utilisez plusieurs services (Google Workspace, une plateforme marketing, un CRM), fusionnez tous leurs mécanismes include en une seule chaîne plutôt que de publier des enregistrements séparés.
• Les sélecteurs DKIM sont propres à chaque fournisseur : Google Workspace publie souvent sous « google », Microsoft 365 sous « selector1 » ou « selector2 » — si la vérification automatique ne trouve rien, recherchez le nom exact du sélecteur de votre fournisseur et saisissez-le manuellement.
• Cet outil audite uniquement la configuration DNS ; il ne vérifie pas le statut de liste noire ni n'analyse le contenu des messages — ce sont des couches distinctes de la délivrabilité des e-mails qui reposent sur une base DNS correctement configurée.