Qu'est-ce que les normes SPF, DKIM et DMARC ? Configuration pas-à-pas pour une protection renforcée des emails

SPF est l'abréviation de Sender Policy Framework. Il s'agit d'une norme basée sur DNS qui permet au propriétaire d'un domaine de dresser la liste des serveurs de messagerie autorisés à envoyer des emails au nom de ce domaine.

Lorsqu'un message arrive, le serveur de messagerie destinataire vérifie l'adresse IP d'envoi par rapport à l'enregistrement SPF TXT dans DNS. Le serveur destinataire renvoie alors un résultat SPF donné, selon que l'adresse IP est autorisée ou non par l'enregistrement publié.

La norme SPF présente certaines limites qu'il est important de connaître. Elle vérifie l'adresse Return-Path, pas l'en-tête De que les destinataires voient dans leur boîte de réception. Elle peut également ne pas fonctionner en cas de transfert de messages, car l'adresse IP du serveur de transfert peut ne pas figurer dans l'enregistrement SPF original. Enfin, les enregistrements SPF sont limités à 10 recherches DNS, ce qui peut poser problème aux entreprises qui utilisent de nombreux services d'envoi tiers.

DKIM est l'abréviation de DomainKeys Identified Mail. Cette norme utilise la cryptographie à clé publique pour prouver qu'un message a été envoyé par un domaine autorisé et n'a pas été modifié pendant le transit.

Lorsqu'un email est envoyé, le serveur d'envoi ajoute une signature numérique à l'en-tête du message à l'aide d'une clé privée. La clé publique correspondante est stockée dans un enregistrement DNS TXT sous un sélecteur DKIM. Le serveur destinataire recherche cette clé publique et vérifie la signature. Si la signature est valide, il confirme que le contenu signé n'a pas été altéré et que le domaine signataire a autorisé la signature.

La norme DKIM résiste généralement mieux au transfert d'emails que la norme SPF, car la signature reste associée au message tant que le contenu signé n'est pas modifié. Cela en fait un signal fort pour l'alignement DMARC, que nous abordons ci-dessous.

DMARC est l'acronyme de Domain-based Message Authentication, Reporting, and Conformance. Cette norme s'appuie sur SPF et DKIM en ajoutant deux fonctions qu'aucune norme n'offre d'elle-même : l'alignement du domaine et le contrôle des règles.

L'alignement du domaine signifie que DMARC vérifie si le domaine utilisé par SPF ou DKIM correspond à l'adresse De que les destinataires voient dans leur boîte de réception. Cette étape est importante car les authentifications SPF et DKIM peuvent techniquement réussir même si un domaine différent de celui vu par le destinataire est utilisé. 

DMARC permet également aux propriétaires de domaines de publier une règle qui indique aux serveurs de messagerie destinataires quelles mesures prendre lorsqu'un message échoue à l'alignement SPF et DKIM. Les trois options de règle sont p=none (surveiller uniquement, sans prendre de mesure), p=quarantine (envoyer les messages qui ont échoué vers le dossier de spam) et p=reject (bloquer les messages qui ont échoué). DMARC fournit également des rapports, de sorte que les propriétaires de domaines peuvent voir qui envoie des emails en utilisant leur domaine et quelles vérifications échouent.

Publiée en mai 2026, la norme DMARC RFC 9989 a remplacé la norme RFC 7489 et a transformé DMARC d'une RFC informative en un processus de normalisation Internet. Le modèle de base d'alignement des normes SPF et DKIM est conservé, mais la norme mise à jour clarifie la manière dont les destinataires découvrent les domaines d'entreprise et appliquent la règle.

La RFC 9989 modifie également la découverte des domaines et des règles et introduit des balises pour les limites des domaines d'entreprise, les sous-domaines inexistants et les tests. Consultez le guide technique des nouvelles balises DMARC pour en savoir plus sur l'implémentation.

Les normes SPF, DKIM et DMARC ne sont pas en concurrence. Elles sont censées fonctionner comme un tout, chacune gérant une partie différente du problème.

La norme SPF vérifie le serveur d'envoi. La norme DKIM vérifie la signature du message. La norme DMARC évalue l'alignement et indique aux destinataires comment gérer les messages qui échouent à l'authentification.

Lorsqu'un message passe de l'expéditeur au destinataire, les normes SPF, DKIM et DMARC jouent chacune un rôle dans la vérification. Le fonctionnement est le suivant :

1. Le serveur de messagerie de l'expéditeur envoie le message.
2. Le serveur de messagerie destinataire vérifie l'adresse IP d'envoi par rapport à l'enregistrement SPF de l'expéditeur dans DNS.
3. Le serveur de messagerie destinataire vérifie également la signature DKIM en recherchant la clé publique stockée sous le sélecteur DKIM dans le DNS.
4. DMARC vérifie ensuite l'alignement : le domaine qui a passé l'authentification SPF ou DKIM correspond-il à l'adresse De visible ?
5. En fonction de la règle DMARC (none, quarantine ou reject), le destinataire traite le message.
6. Le destinataire envoie des rapports agrégés au propriétaire du domaine, indiquant quels messages ont été acceptés et lesquels ont échoué. 

L'authentification DMARC est réussie lorsque l'authentification et l'alignement SPF ou l'authentification et l'alignement DKIM sont validés. Les deux ne sont pas requis. Mais il est conseillé aux entreprises de configurer à la fois les normes SPF et DKIM, car SPF peut échouer dans le cas d'emails transférés, tandis que DKIM peut continuer à les valider.

Sans configuration adéquate des normes SPF, DKIM et DMARC, les cybercriminels peuvent plus facilement envoyer des emails qui semblent provenir de votre domaine. Ils exploitent cette vulnérabilité pour mener des campagnes de phishing, des escroqueries de type piratage de la messagerie en entreprise (BEC, Business Email Compromise) et des attaques d'usurpation de domaines, qui érodent la confiance des clients et entraînent des coûts.

En conséquence, les fournisseurs de messagerie exigent désormais une authentification plus forte de la part des expéditeurs. Google et Yahoo ont commencé à exiger l'implémentation des normes SPF, DKIM et DMARC par les expéditeurs en masse en février 2024. Microsoft a suivi en mai 2025. Les exigences et les pratiques de mise en œuvre continuent d'évoluer, de sorte que les expéditeurs doivent s'informer des directives actuelles auprès de chaque fournisseur de messagerie.

Au-delà de la sécurité, les normes SPF, DKIM et DMARC contribuent également à la remise des emails. Les messages qui passent les trois contrôles sont davantage susceptibles d'être remis en boîte de réception, tandis que les messages qui échouent auront plutôt tendance à être filtrés ou bloqués.

Une configuration soignée et progressive aide à réduire le risque de perturbation des emails légitimes. Gardez à l'esprit qu'une intervention trop rapide peut bloquer des emails valides, mais qu'une intervention trop lente peut laisser le domaine exposé. L'objectif est d'accroître la visibilité, de corriger les failles, puis de passer à l'application des règles en toute confiance.

1. Dressez un inventaire de tous les expéditeurs

Avant d'apporter des modifications au DNS, dressez la liste de tous les services qui envoient des emails au nom de votre domaine. Cela inclut votre plate-forme de messagerie principale (comme Microsoft 365 ou Google Workspace), ainsi que les outils CRM, les plates-formes de marketing, les systèmes RH, les services de facturation, les systèmes de gestion des tickets et tout fournisseur tiers. L'oubli d'un seul expéditeur peut entraîner l'échec de l'authentification DMARC pour des emails valides.

2. Publiez ou mettez à jour votre enregistrement SPF

Créez dans le DNS un enregistrement SPF TXT unique qui répertorie tous les services d'envoi autorisés pour votre domaine. Surveillez la limite de 10 recherches DNS. Si vous utilisez de nombreux expéditeurs tiers, vous pouvez atteindre cette limite rapidement. Supprimez les entrées anciennes ou inutilisées pour garder l'enregistrement propre.

3. Activez la signature DKIM pour chaque expéditeur

Pour chaque service qui envoie des emails en votre nom, configurez la signature DKIM. Pour ce faire, vous devez créer une paire de clés, publier la clé publique sous forme d'enregistrement DNS TXT sous un sélecteur DKIM et activer la signature dans le service d'envoi. Utilisez une clé de 2 048 bits si le service d'envoi la prend en charge.

4. Publiez un enregistrement DMARC en mode surveillance

Ajoutez un enregistrement DMARC TXT au DNS avec une règle p=none. Cela vous permettra de surveiller les résultats DMARC sans demander aux serveurs de messagerie destinataires de mettre en quarantaine ou de rejeter les messages qui échouent à la vérification. Incluez une balise rua afin que les rapports agrégés soient envoyés à une adresse que vous surveillez.

5. Examinez les rapports et remédiez aux échecs

Utilisez les rapports DMARC pour identifier les expéditeurs qui échouent à l'authentification SPF ou DKIM ou à l'alignement. Il peut s'agir pour certains de services que vous avez oublié d'inclure dans votre enregistrement SPF ou qui nécessitent une configuration DKIM. Corrigez chaque faille avant de durcir la règle.

6. Appliquez la règle de mise en quarantaine, puis de rejet

Une fois que tous les expéditeurs valides ont passé avec succès l'authentification SPF, DKIM et DMARC, activez la règle p=quarantine. Vérifiez à nouveau les rapports afin de détecter tout problème subsistant. Lorsque vous êtes sûr de vous, passez à p=reject. Cette règle demande aux destinataires de rejeter les messages qui échouent à l'authentification DMARC.

7. Envisagez d'ajouter la norme BIMI après l'application des règles

La norme BIMI (Brand Indicators for Message Identification) permet à un domaine de publier un logo que les fournisseurs de messagerie qui prennent en charge cette norme peuvent afficher à côté des messages authentifiés. BIMI s'appuie sur DMARC et nécessite généralement une règle d'application p=quarantine ou p=reject. Vérifiez les exigences de mise en œuvre de BIMI avant de publier un enregistrement BIMI.

8. Assurez la maintenance des enregistrements au fil du temps

Les enregistrements SPF, DKIM et DMARC nécessitent une maintenance continue. Examinez-les chaque fois que vous ajoutez ou supprimez un éditeur de solutions, lancez un nouvel outil de messagerie, changez de domaines ou faites l'objet d'une fusion. Des enregistrements périmés peuvent entraîner l'échec des vérifications et le blocage d'emails légitimes.

9. Envisagez l'utilisation de services d'authentification hébergés

Les grandes entreprises peuvent utiliser des services d'authentification hébergés pour gérer les enregistrements SPF, DKIM et DMARC, normaliser les rapports, identifier les sources d'envoi et réduire la charge opérationnelle des modifications continues. Ces services peuvent être utiles lorsqu'une multitude de divisions opérationnelles, de domaines et de plates-formes tierces envoient des emails au nom de l'entreprise.

Même après la configuration, les équipes rencontrent fréquemment des problèmes, notamment :

• Enregistrements SPF obsolètes dans lesquels apparaissent toujours d'anciens éditeurs de solutions
• Dépassement de la limite de 10 recherches DNS SPF
• Configuration DKIM manquante pour des expéditeurs tiers
• Lacunes dans la rotation des clés DKIM qui laissent d'anciennes clés en place trop longtemps
• Domaines d'expéditeur mal alignés qui entraînent l'échec d'emails valides à l'authentification DMARC
• Maintien de la règle p=none active indéfiniment sans passer à l'application

Il existe également une limite fondamentale à garder à l'esprit. DMARC protège votre domaine exact contre l'usurpation d'identité, mais il ne couvre pas toutes les techniques d'attaque. Les domaines similaires (comme « v0treentreprise.com » au lieu de « votreentreprise.com »), l'usurpation du nom d'affichage et les emails provenant de comptes fournisseurs compromis peuvent tous contourner DMARC. Ces menaces nécessitent des défenses supplémentaires au-delà des normes SPF, DKIM et DMARC.

Une configuration SPF, DKIM et DMARC plus robuste peut réduire le risque que des cybercriminels utilisent votre domaine pour envoyer de faux messages. Elle peut aider à protéger la confiance que les clients, les partenaires et les employés accordent à vos domaines. Elle peut également prendre en charge la remise des emails en aidant les fournisseurs de messagerie à authentifier les messages professionnels légitimes.

Tout aussi important, l'authentification fournit aux équipes des données plus claires sur les personnes qui envoient des emails au nom de l'entreprise. Cette visibilité peut soutenir les conversations sur la gouvernance, l'examen des risques, les audits, les discussions sur la cyberassurance et les mises à jour au niveau du conseil d'administration. Les responsables de la sécurité peuvent démontrer que l'entreprise dispose de contrôles actifs de l'identité de l'expéditeur, d'un processus d'application des règles et de rapports qui soutiennent la gestion continue.

Aucun de ces résultats n'est garanti. Mais l'application de la norme DMARC constitue une mesure importante que les équipes peuvent prendre pour renforcer la confiance dans les communications par email.

Les normes SPF, DKIM et DMARC font partie d'une couche de confiance plus large dans l'identité des emails. Elles aident à vérifier qu'un domaine d'envoi a autorisé un message et que le contenu du message signé n'a pas été modifié.

C'est pourquoi l'authentification est essentielle. Elle aide à vérifier les expéditeurs légitimes et à réduire l'usurpation directe de domaines. Mais les fraudes par email modernes peuvent également impliquer des domaines similaires, l'usurpation d'identité de fournisseurs, des comptes partenaires compromis, l'usurpation du nom d'affichage et le détournement des adresses de réponse.

Proofpoint Email Fraud Defense aide les entreprises à simplifier la mise en œuvre de DMARC, à gérer l'authentification hébergée, à identifier les sources d'emails qui utilisent des domaines de confiance et des domaines similaires, et à comprendre les risques liés aux fournisseurs. Les équipes disposent ainsi d'un processus d'application des règles mieux contrôlé, tandis que la circulation des emails légitimes est préservée. 

En savoir plus sur Proofpoint Email Fraud Defense.