SPF, DKIM, DMARC: comment sécuriser les emails de votre PME contre l’usurpation

Comment activer DKIM pour votre domaine ?

L’activation DKIM dépend de votre fournisseur email. Voici la procédure pour les deux solutions les plus courantes chez les PME :

Microsoft 365 :

1. Accéder au Portail Microsoft 365 Defender (security.microsoft.com)
2. Aller dans Email & Collaboration → Policies & Rules → Threat Policies → DKIM
3. Sélectionner votre domaine et activer la signature DKIM
4. Copier les deux enregistrements CNAME fournis et les ajouter à votre DNS
5. Attendre la propagation DNS (jusqu’à 48h) et vérifier l’activation

Google Workspace :

1. Aller dans la Google Admin Console (admin.google.com)
2. Applications → Google Workspace → Gmail → Authentifier les e-mails
3. Sélectionner votre domaine et générer la clé DKIM
4. Copier l’enregistrement TXT et l’ajouter à votre DNS chez votre registrar
5. Cliquer sur « Commencer l’authentification » une fois le DNS propagé

DMARC : la politique qui unit SPF et DKIM

Qu’est-ce que le DMARC ?

Le Domain-based Message Authentication, Reporting and Conformance (DMARC) est le troisième protocole de la trinité email. Il s’appuie sur SPF et DKIM pour définir une politique claire : que faire des emails qui échouent aux deux vérifications ?

DMARC introduit également un mécanisme de reporting très précieux : les serveurs de messagerie qui reçoivent des emails prétendant venir de votre domaine vous envoient des rapports quotidiens. Ces rapports vous indiquent qui envoie des emails en votre nom, qu’ils soient légitimes ou frauduleux.

Pourquoi vos emails peuvent être usurpés sans que vous le sachiez

Chaque jour, des dizaines de milliers d’emails frauduleux sont envoyés en se faisant passer pour des PME françaises. L’expéditeur indiqué est votre adresse, votre logo est présent, et pourtant le message vient d’un serveur pirate à l’autre bout du monde. Ce phénomène s’appelle l’usurpation d’identité par email (ou email spoofing), et il est redoutablement efficace pour lancer des attaques de phishing contre vos clients, partenaires et fournisseurs.

La bonne nouvelle : trois protocoles techniques permettent de bloquer ces usurpations à la source. SPF, DKIM et DMARC forment ensemble un bouclier de protection pour votre domaine email. Ils sont gratuits, standardisés, et leur mise en place ne nécessite que quelques modifications dans votre DNS. Pourtant, en 2026, moins de 40 % des PME françaises les ont correctement configurés.

Ce guide vous explique en détail ce que sont ces trois protocoles, pourquoi vous devez absolument les activer, et comment les configurer pas à pas, même sans expertise technique approfondie.

SPF : déclarer quels serveurs peuvent envoyer des emails en votre nom

Qu’est-ce que le SPF ?

Le Sender Policy Framework (SPF) est un enregistrement DNS de type TXT qui liste les serveurs de messagerie autorisés à envoyer des emails pour votre domaine. Lorsqu’un serveur reçoit un email prétendant venir de votre entreprise, il consulte votre DNS pour vérifier si le serveur expéditeur figure dans votre liste blanche SPF.

Si le serveur n’est pas autorisé, le message peut être rejeté ou marqué comme spam, selon la politique configurée par le destinataire. Sans SPF, n’importe quel serveur dans le monde peut envoyer des emails avec votre adresse comme expéditeur apparent.

Comment fonctionne le SPF techniquement ?

Voici le mécanisme en 4 étapes :

1. Vous configurez un enregistrement SPF dans votre DNS, listant vos serveurs email légitimes
2. Un email est envoyé depuis un serveur en utilisant votre domaine
3. Le serveur destinataire interroge votre DNS pour récupérer votre enregistrement SPF
4. Il compare l’IP du serveur expéditeur avec la liste autorisée et accepte ou rejette le message

Exemple d’enregistrement SPF

Un enregistrement SPF typique pour une PME utilisant Microsoft 365 ressemble à ceci :

v=spf1 include:spf.protection.outlook.com -all

Pour Google Workspace :

v=spf1 include:_spf.google.com ~all

Les qualificateurs à la fin de l’enregistrement définissent l’action en cas d’échec :

• -all (fail strict) : rejeter les emails non autorisés ; recommandé en production
• ~all (soft fail) : marquer comme suspect mais accepter ; utile en phase de test
• ?all (neutral) : aucune décision ; à éviter en production

Les erreurs courantes avec SPF

La principale erreur est d’oublier d’inclure tous les services tiers qui envoient des emails en votre nom : votre CRM (Salesforce, HubSpot), votre outil d’emailing (Mailchimp, Brevo), votre logiciel de facturation. Chaque service doit être ajouté dans votre enregistrement SPF, sans dépasser la limite de 10 lookups DNS.

DKIM : signer cryptographiquement vos emails

Qu’est-ce que le DKIM ?

Le DomainKeys Identified Mail (DKIM) ajoute une signature cryptographique à chaque email envoyé. Cette signature est générée avec une clé privée stockée sur votre serveur, et vérifiable par n’importe qui grâce à la clé publique publiée dans votre DNS.

DKIM garantit deux choses essentielles :

• L’authenticité de l’expéditeur : l’email vient bien d’un serveur possédant la clé privée de votre domaine
• L’intégrité du message : le contenu n’a pas été modifié en transit (protection contre les attaques man-in-the-middle)

Pourquoi DKIM est supérieur au SPF seul ?

SPF vérifie l’IP du serveur expéditeur, mais cette vérification se fait sur le Return-Path (l’enveloppe technique de l’email), pas sur le champ From visible par l’utilisateur. Un attaquant sophistiqué peut utiliser un domaine différent dans le Return-Path tout en affichant votre adresse dans le From ; c’est l’attaque dite de « phishing header ».

DKIM, lui, lie la signature cryptographique directement au domaine affiché dans le champ From. Cette complémentarité entre SPF et DKIM est précisément pourquoi les deux protocoles doivent être utilisés ensemble.

Comment activer DKIM pour votre domaine ?

L’activation DKIM dépend de votre fournisseur email. Voici la procédure pour les deux solutions les plus courantes chez les PME :

Microsoft 365 :

1. Accéder au Portail Microsoft 365 Defender (security.microsoft.com)
2. Aller dans Email & Collaboration → Policies & Rules → Threat Policies → DKIM
3. Sélectionner votre domaine et activer la signature DKIM
4. Copier les deux enregistrements CNAME fournis et les ajouter à votre DNS
5. Attendre la propagation DNS (jusqu’à 48h) et vérifier l’activation

Google Workspace :

1. Aller dans la Google Admin Console (admin.google.com)
2. Applications → Google Workspace → Gmail → Authentifier les e-mails
3. Sélectionner votre domaine et générer la clé DKIM
4. Copier l’enregistrement TXT et l’ajouter à votre DNS chez votre registrar
5. Cliquer sur « Commencer l’authentification » une fois le DNS propagé

DMARC : la politique qui unit SPF et DKIM

Qu’est-ce que le DMARC ?

Le Domain-based Message Authentication, Reporting and Conformance (DMARC) est le troisième protocole de la trinité email. Il s’appuie sur SPF et DKIM pour définir une politique claire : que faire des emails qui échouent aux deux vérifications ?

DMARC introduit également un mécanisme de reporting très précieux : les serveurs de messagerie qui reçoivent des emails prétendant venir de votre domaine vous envoient des rapports quotidiens. Ces rapports vous indiquent qui envoie des emails en votre nom, qu’ils soient légitimes ou frauduleux.

Les trois politiques DMARC

Un enregistrement DMARC se configure avec la balise p= qui définit la politique :

• p=none : mode monitoring uniquement ; les emails frauduleux sont acceptés mais vous recevez des rapports. Idéal pour commencer et analyser votre flux email actuel
• p=quarantine : les emails qui échouent sont placés dans le dossier spam. Bon compromis pendant la phase de transition
• p=reject : les emails qui échouent sont rejetés définitivement. La protection maximale, à activer une fois que vous êtes certain que tous vos emails légitimes passent SPF et DKIM

Exemple d’enregistrement DMARC complet

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@votredomaine.fr; ruf=mailto:dmarc-failures@votredomaine.fr; pct=100; adkim=s; aspf=s

Décryptage des paramètres :

• p=quarantine : politique de mise en quarantaine
• rua= : adresse email pour recevoir les rapports agrégés quotidiens
• ruf= : adresse pour les rapports forensiques détaillés (sur chaque échec)
• pct=100 : appliquer la politique à 100% des emails
• adkim=s : alignement DKIM strict (le domaine DKIM doit correspondre exactement)
• aspf=s : alignement SPF strict

La stratégie de déploiement recommandée pour une PME

Déployer ces trois protocoles sans méthode peut bloquer vos emails légitimes. Voici la démarche progressive recommandée :

Phase 1 : Audit et inventaire (Semaine 1)

Avant toute configuration, inventoriez tous les services qui envoient des emails depuis votre domaine. Cela inclut votre serveur email principal, mais aussi vos outils marketing, CRM, ERP, logiciels de facturation, et tout service SaaS qui envoie des notifications depuis votre domaine.

Utilisez un outil comme MXToolbox (mxtoolbox.com) pour analyser votre état actuel et identifier les enregistrements SPF/DKIM/DMARC existants ou manquants.

Phase 2 : Déploiement SPF et DKIM (Semaine 2)

Créez d’abord votre enregistrement SPF en incluant tous les services identifiés lors de l’audit. Parallèlement, activez DKIM sur votre fournisseur email principal. Attendez 48h pour la propagation DNS et testez avec un outil comme mail-tester.com.

Phase 3 : DMARC en mode monitoring (Semaines 3-4)

Ajoutez votre enregistrement DMARC avec p=none. Configurez l’adresse de réception des rapports (rua) et attendez 2 semaines de rapports. Analysez qui envoie des emails depuis votre domaine, vous découvrirez souvent des services oubliés lors de l’inventaire initial.

Phase 4 : Renforcement progressif (Mois 2)

Une fois que vos rapports DMARC ne montrent plus d’emails légitimes en échec, passez à p=quarantine avec pct=25 (25% des emails frauduleux), puis augmentez progressivement. Enfin, passez à p=reject pour la protection maximale.

Outils pour analyser et surveiller vos enregistrements

Plusieurs outils gratuits vous permettent de vérifier et monitorer vos configurations :

• MXToolbox (mxtoolbox.com) : vérification SPF, DKIM, DMARC et test de délivrabilité
• Mail-Tester (mail-tester.com) : envoyez un email de test et obtenez un score de délivrabilité avec recommandations
• DMARC Analyzer (dmarcanalyzer.com) : analyse et visualisation des rapports DMARC
• Google Postmaster Tools : si vous utilisez Gmail, suivi de la réputation de votre domaine
• Dmarcian : outil professionnel d’analyse DMARC avec visualisation géographique des sources d’emails

Les nouvelles exigences 2024-2026 : Google et Yahoo imposent DMARC

Depuis février 2024, Google et Yahoo ont rendu obligatoire la configuration DMARC pour tous les expéditeurs envoyant plus de 5000 emails par jour. Cette décision majeure a accéléré l’adoption de ces protocoles dans le monde entier.

En 2026, même si votre volume d’envoi est inférieur à ce seuil, ne pas avoir DMARC configuré impacte négativement votre réputation d’expéditeur et votre délivrabilité. Les filtres antispam modernes pénalisent les domaines sans DMARC, ce qui peut faire atterrir vos emails commerciaux légitimes dans les dossiers indésirables de vos clients.

BIMI : l’étape suivante pour afficher votre logo dans les boîtes mail

Une fois SPF, DKIM et DMARC correctement configurés avec p=reject, vous pouvez aller plus loin avec BIMI (Brand Indicators for Message Identification). Ce protocole, encore émergent mais déjà supporté par Gmail, Yahoo et Apple Mail, permet d’afficher votre logo d’entreprise directement dans la boîte de réception du destinataire, à côté de votre adresse email.

BIMI renforce la confiance des destinataires et améliore la reconnaissance de votre marque. Sa mise en place nécessite un certificat VMC (Verified Mark Certificate) pour certifier votre logo auprès d’une autorité de certification.

Cas pratique : impact réel sur la délivrabilité et la sécurité

Pour illustrer l’importance de ces protocoles, prenons l’exemple d’une PME de services fictive, « TechConseil », qui a configuré SPF, DKIM et DMARC en mars 2025.

Avant la configuration, les rapports DMARC ont révélé que 340 emails frauduleux par semaine étaient envoyés en usurpant leur domaine, principalement à leurs clients. Ces emails tentaient de détourner des paiements en falsifiant des demandes de virement. Après le passage à p=reject, ces tentatives ont été bloquées à 100% au niveau des serveurs destinataires.

Parallèlement, leur taux de délivrabilité des emails légitimes a augmenté de 12%, leurs emails marketing atteignant mieux les boîtes de réception plutôt que les dossiers spam.

FAQ : les questions fréquentes sur SPF, DKIM et DMARC

Puis-je configurer SPF, DKIM et DMARC moi-même sans être développeur ?

Oui, si vous avez accès au panneau de gestion de votre nom de domaine (OVH, Gandi, Cloudflare…) et à l’interface d’administration de votre fournisseur email (Microsoft 365, Google Workspace). Les interfaces modernes ont simplifié ces configurations, et des guides étape par étape sont disponibles pour chaque plateforme.

Est-ce que DMARC peut bloquer mes emails légitimes ?

Oui, si vous passez directement à p=reject sans audit préalable. C’est pourquoi la phase de monitoring (p=none) est indispensable. Elle vous permet d’identifier tous vos flux email légitimes avant d’activer le rejet.

Combien de temps faut-il pour configurer les trois protocoles ?

La configuration technique elle-même prend 2 à 4 heures. La propagation DNS nécessite jusqu’à 48h. Le monitoring DMARC recommande 2 à 4 semaines avant de passer à une politique restrictive. En tout, comptez 3 à 6 semaines pour un déploiement complet et serein.

SPF, DKIM et DMARC protègent-ils contre toutes les formes de phishing ?

Non. Ces protocoles protègent contre l’usurpation de votre domaine exact. Ils ne protègent pas contre les domaines similaires (lookalike domains) comme « votreentreprise-factures.fr » ou les attaques ciblant vos employés. Pour une protection complète, combinez ces protocoles avec une solution de filtrage email et une formation anti-phishing de vos collaborateurs.

Conclusion : trois protocoles indispensables pour toute PME

SPF, DKIM et DMARC ne sont plus des options réservées aux grandes entreprises. En 2026, ils constituent le minimum vital pour toute organisation qui envoie des emails professionnels. Leur configuration est gratuite, leur impact sur la sécurité et la délivrabilité est immédiat, et leur absence vous expose à des risques réputationnels et financiers significatifs.

Commencez par l’audit de votre état actuel avec MXToolbox, déployez SPF et DKIM en une journée, puis laissez DMARC en mode monitoring pendant quelques semaines avant de basculer en mode rejet. Votre domaine email sera alors protégé contre l’immense majorité des tentatives d’usurpation.

Si vous souhaitez aller plus loin dans la sécurisation de votre messagerie, découvrez notre guide sur la gestion des mots de passe pour PME et notre guide complet IA & Cybersécurité 2026.