SPF, DKIM et DMARC : configurer et vérifier son domaine d'envoi

Règle d'or. Pour préparer un domaine de cold email, configurez SPF, DKIM et DMARC avec votre fournisseur de messagerie, puis vérifiez les résultats sur un vrai message. SPF identifie les serveurs autorisés, DKIM signe le message et DMARC indique au destinataire comment traiter les échecs d'authentification.

Ces réglages se complètent, mais ils ne remplacent ni une liste de contacts propre ni le respect du droit d'opposition. Un message authentifié peut toujours arriver en courrier indésirable. La vérification porte donc aussi sur le destinataire, le contenu et les retours de campagne.

1. SPF DKIM DMARC : l'inventaire des expéditeurs

Avant de modifier le DNS, notez l'adresse utilisée pour envoyer les messages et le domaine qui suit le signe @. Recensez ensuite les services qui envoient avec ce domaine : la messagerie professionnelle, le logiciel de facturation, les formulaires et, le cas échéant, l'outil de campagne. Pour chaque service, identifiez la personne chargée de sa configuration. Chaque service légitime doit rester capable d'envoyer après le changement.

Vérifiez également si vos campagnes utilisent un domaine ou un sous-domaine distinct. Une modification sur le mauvais domaine ne corrigera pas les messages qui posent problème. Le guide sur l'infrastructure et la délivrabilité explique le rôle du domaine et des boîtes d'envoi dans l'ensemble de la configuration.

2. La sauvegarde des entrées DNS

Conservez une copie des entrées DNS actuelles avant toute intervention. Notez également leur nom et leur type pour pouvoir les retrouver. Indiquez à quel service correspond chaque entrée pour faciliter une correction ultérieure. Si votre prestataire informatique gère le domaine, transmettez-lui la liste des services et les valeurs fournies par chacun. Une valeur générique trouvée dans un exemple ne suffit pas à identifier votre propre fournisseur.

3. Le domaine réellement contrôlé par SPF

SPF permet au serveur destinataire de contrôler si le serveur qui remet le message est autorisé pour le domaine utilisé par la vérification SPF. Ce domaine peut être différent de celui que le destinataire voit dans l'adresse d'expédition. L'autorisation est publiée dans le DNS, sous forme d'un enregistrement TXT. La documentation Google sur SPF décrit la création de cet enregistrement et la prise en compte des autres expéditeurs.

Avant de chercher une entrée DNS, envoyez un message de test et identifiez le domaine réellement contrôlé dans les résultats SPF, généralement celui de l'enveloppe MAIL FROM. Ce domaine peut appartenir au prestataire plutôt qu'à votre organisation. Lorsque l'enveloppe est vide, la norme SPF utilise l'identité HELO ; consultez les en-têtes ou le fournisseur en cas de doute.

4. L'enregistrement SPF du domaine contrôlé

Dans l'interface DNS du domaine contrôlé, recherchez une entrée TXT qui commence par v=spf1, si vous administrez ce domaine. S'il appartient au prestataire, demandez-lui la marche à suivre au lieu de modifier le domaine visible par supposition. Si l'entrée existe, ne créez pas un second enregistrement SPF pour le même nom : examinez les services déjà autorisés et conservez ceux qui envoient toujours.

La connexion d'un logiciel de campagne à une boîte Google ou Microsoft ne signifie pas automatiquement qu'il faut ajouter ce logiciel à SPF. La réponse dépend du serveur qui remet réellement le message. Consultez les consignes du fournisseur et les en-têtes d'un envoi de test avant de modifier la liste des expéditeurs.

5. L'alignement SPF avec le domaine visible

Une entrée SPF valide ne prouve pas à elle seule que DMARC passe. DMARC vérifie aussi que le domaine contrôlé est aligné avec le domaine de l'adresse visible par le destinataire. Ce point devient important quand un service utilise un domaine de retour différent.

Le résultat SPF et son domaine apparaissent dans les détails techniques du message de test, lorsque le fournisseur les expose. Comparez-les à l'adresse visible, puis vérifiez aussi DKIM avant de conclure : un contrôle aligné suffit au passage de DMARC. Si les deux contrôles échouent ou ne sont pas alignés, la politique publiée indique au destinataire le traitement demandé.

6. La signature DKIM de chaque service

DKIM ajoute une signature cryptographique à un message sortant. Le destinataire utilise la clé publique publiée dans le DNS pour vérifier cette signature. La clé privée reste auprès du service qui signe. Si la signature est valide, il peut constater que les éléments couverts par la signature n'ont pas été modifiés depuis l'envoi.

Dans l'administration de votre fournisseur, cherchez la section d'authentification du domaine et créez ou activez la signature proposée. Le fournisseur donne le nom DNS à créer, généralement lié à un sélecteur, ainsi qu'une valeur. Notez à quel service appartient chaque sélecteur pour faciliter une rotation ultérieure. Selon le service, il peut demander une entrée TXT ou des entrées CNAME ; copiez le type et le nom fournis pour votre compte. Ne supposez pas que les paramètres d'un autre compte conviennent au vôtre.

7. L'activation de la signature DKIM

Après l'ajout dans le DNS, retournez dans l'interface du fournisseur pour terminer l'activation. La modification DNS peut mettre du temps à être prise en compte. Une clé publiée ne prouve pas que la signature est active. Faites un envoi depuis chaque service qui utilise votre domaine, car l'activation dans une application ne configure pas automatiquement les autres.

Si vous utilisez Google Workspace pour la messagerie, suivez sa procédure propre au domaine. Si vos boîtes sont hébergées par Microsoft 365, utilisez les noms et les étapes fournis par Microsoft pour votre organisation. Les sélecteurs et les écrans peuvent différer selon le prestataire.

8. La politique DMARC et l'alignement

DMARC s'appuie sur SPF et DKIM et sur leur alignement avec le domaine visible dans l'adresse de l'expéditeur. Une authentification peut réussir pour un domaine technique tout en échouant à l'alignement avec l'adresse affichée. DMARC peut passer si au moins l'un des deux contrôles, SPF ou DKIM, réussit avec l'alignement requis.

La politique DMARC est publiée dans un enregistrement TXT sous le nom _dmarc du domaine concerné. Elle indique la politique demandée au destinataire en cas d'échec : observation, mise en quarantaine ou rejet. Une adresse de réception des rapports peut être indiquée pour examiner les services qui envoient avec votre domaine.

9. Les rapports DMARC avant durcissement

Pour une configuration initiale, la politique p=none permet de collecter des rapports sans demander le rejet des messages qui échouent. Il faut ensuite examiner ces rapports, identifier les expéditeurs légitimes et corriger leur authentification avant d'envisager une politique plus stricte. Les rapports aident à repérer un service oublié dans l'inventaire. Passer directement au rejet peut bloquer des messages utiles si un service autorisé n'a pas encore été configuré.

Google détaille la mise en place de DMARC et recommande de déployer la politique progressivement. Avec Google Workspace, attendez 48 heures après le réglage de SPF et/ou DKIM, puis configurez DMARC. Les rapports servent au diagnostic ; leur réception ne garantit pas que chaque message arrive dans la boîte de réception principale.

10. Le contrôle sur un message réel

Envoyez un message depuis une boîte de campagne vers une adresse de test à laquelle vous avez accès. Dans la messagerie de réception, ouvrez les détails techniques ou la source du message. Recherchez les résultats SPF, DKIM et DMARC ainsi que les domaines associés à ces contrôles. Conservez le message pour comparer ses résultats après une correction.

Dans Gmail, l'option permettant d'afficher le message original donne accès aux résultats d'authentification. Lisez le résultat avec le domaine contrôlé : il ne suffit pas de repérer le mot pass sans vérifier à quoi il correspond. Un transfert ou une modification intermédiaire peut aussi changer le résultat observé.

11. La correction après un échec

Répétez le contrôle pour chaque voie d'envoi utilisée : depuis la boîte elle-même, puis depuis le logiciel de campagne s'il utilise un autre chemin. Si l'un des résultats échoue, comparez les en-têtes au domaine d'envoi et reprenez les valeurs indiquées par le prestataire concerné. Le répertoire des outils d'infrastructure email aide à identifier les services à contrôler.

Ne corrigez pas plusieurs entrées à l'aveugle. Notez la valeur initiale, effectuez une modification compréhensible, puis renouvelez le test après sa prise en compte par le DNS. Si le message de facturation ou le formulaire utilise le même domaine, testez-le aussi avant de conclure. Si l'échec persiste, transmettez les résultats techniques au support du fournisseur concerné.

Seuils à tenir

Les contrôles ci-dessous sont des points de passage techniques, et non une promesse de placement en boîte de réception. Les valeurs à publier dépendent des expéditeurs que vous utilisez et de la politique choisie pour votre domaine. Le tableau indique les documents consultés pour retrouver les instructions propres à chaque mécanisme.

12. La qualité des adresses et du ciblage

Un domaine correctement authentifié peut envoyer vers une adresse inexistante, contacter une personne hors cible ou recevoir une opposition. L'authentification ne vérifie pas si le sujet du message concerne le destinataire. Avant l'envoi, reprenez les critères de ciblage et de préparation des données, puis retirez les adresses invalides de la liste.

Une adresse vérifiée n'est pas un accord de prospection. Un statut indique un résultat à un moment donné ; il ne garantit pas qu'une adresse restera active. Les adresses dont le serveur accepte toutes les combinaisons demandent une attention particulière, car la vérification ne peut pas toujours confirmer l'existence de la boîte. Comparez les traitements proposés dans le répertoire des outils de vérification d'adresses.

13. Le traitement des réponses et oppositions

Préparez aussi une façon simple de traiter les réponses et les demandes d'opposition. Consignez ces demandes pour éviter de recontacter les personnes concernées. La page sur le cadre de la prospection B2B rassemble les points à examiner avant le lancement. L'authentification technique n'autorise pas, à elle seule, une sollicitation commerciale.

Pour choisir la solution d'envoi, comparez ensuite les fonctions et les contraintes des outils de cold email. La méthode pour sélectionner un outil d'envoi aide à vérifier les connexions de boîtes, le suivi et les limites du forfait. Un outil n'a pas à modifier votre DNS si votre fournisseur de messagerie assure déjà l'envoi et la signature.

Contrôle avant envoi

• Le domaine visible et le domaine réellement contrôlé par SPF sont identifiés, ainsi que les services d'envoi.
• L'entrée SPF du domaine contrôlé a été vérifiée avec son administrateur et les expéditeurs légitimes restent autorisés.
• La signature DKIM est activée dans chaque service concerné et ses clés sont publiées.
• La politique DMARC correspond à l'état réel de la configuration et les rapports sont consultés.
• Un message de test montre les résultats et les domaines d'authentification attendus.
• La liste est vérifiée et les réponses comme les oppositions peuvent être traitées.