Vos e-mails professionnels finissent en spam ? SPF, DKIM et DMARC pas à pas

Vous envoyez une offre, et le client ne la reçoit pas. La facture attend dans le dossier spam. Quelqu’un reçoit une « demande urgente de virement » depuis une adresse qui ressemble à la vôtre. Ces trois problèmes ont souvent une cause commune : le domaine de l’entreprise n’a pas d’enregistrements SPF, DKIM et DMARC correctement configurés.

Ce sont trois courtes entrées dans les réglages du domaine (DNS). Elles n’exigent ni nouveau logiciel ni changement de boîte mail, et dans beaucoup d’entreprises elles manquent depuis des années. Je vous explique ci-dessous ce qu’elles sont, ce que Gmail, Yahoo et Outlook exigent et comment les configurer en toute sécurité.

SPF, DKIM et DMARC en un paragraphe

• SPF est la liste des serveurs autorisés à envoyer des e-mails depuis votre domaine. Le destinataire vérifie si l’e-mail provient d’un serveur de cette liste.
• DKIM est une signature numérique. Votre serveur de messagerie signe chaque e-mail, et le destinataire vérifie la signature avec la clé publique enregistrée dans le DNS. La signature confirme que l’e-mail a bien été envoyé par votre domaine et que personne ne l’a modifié en route.
• DMARC dit au destinataire quoi faire d’un e-mail qui se présente comme venant de votre domaine mais ne passe ni SPF ni DKIM : le laisser passer, le mettre en spam ou le rejeter. En plus, il vous envoie des rapports sur qui envoie des e-mails en votre nom.

Pour qu’un e-mail passe DMARC, il doit passer SPF ou DKIM, et le domaine de cette vérification doit correspondre à l’adresse de l’expéditeur que voit le destinataire.

Ce qu’exigent Gmail, Yahoo et Outlook

Depuis février 2024, Gmail et Yahoo exigent de tous les expéditeurs au minimum SPF ou DKIM, un enregistrement inverse (PTR) valide pour le serveur d’envoi et un faible taux de signalements de spam (inférieur à 0,3 %). Gmail exige aussi une connexion chiffrée (TLS).

Les entreprises qui envoient à Gmail environ 5 000 e-mails par jour ou plus doivent avoir à la fois SPF et DKIM, un enregistrement DMARC et un lien de désinscription en un clic dans les e-mails marketing. Depuis novembre 2025, Google durcit l’application de ces règles : les e-mails qui ne les respectent pas peuvent être rejetés temporairement ou définitivement.

Depuis le 5 mai 2025, Microsoft exige la même chose des domaines qui envoient plus de 5 000 e-mails par jour vers les boîtes Outlook.com, Hotmail et Live : SPF, DKIM et DMARC, au minimum en mode observation. Les e-mails qui ne remplissent pas ces exigences vont dans le dossier des courriers indésirables ou sont rejetés avec l’erreur 550 5.7.515.

Votre entreprise n’envoie probablement pas 5 000 e-mails par jour. Mais les serveurs de messagerie évaluent chaque message, et un e-mail sans SPF ni DKIM est moins crédible à leurs yeux. C’est l’une des raisons pour lesquelles une simple offre atterrit en spam.

S’agit-il d’une obligation légale ?

En Pologne, la loi sur la lutte contre les abus dans les communications électroniques (ustawa o zwalczaniu nadużyć w komunikacji elektronicznej ; Dz.U. 2024 poz. 1803, art. 24, c’est-à-dire le Journal des lois polonais) impose l’usage de SPF, DKIM et DMARC aux fournisseurs de messagerie comptant au moins 500 000 utilisateurs et aux entités publiques. Cette obligation ne concerne pas une petite entreprise privée. CERT Polska (l’équipe nationale polonaise de réponse aux incidents informatiques) recommande toutefois ces protections à tous, y compris aux domaines qui n’envoient pas du tout de courrier, car ce sont justement ceux que les fraudeurs exploitent volontiers.

Étape 1 : vérifiez ce que vous avez aujourd’hui

Avant de changer quoi que ce soit, vérifiez les enregistrements actuels :

• avec mon outil Analyser votre site, qui montre MX, SPF et DMARC en même temps que le reste du site,
• avec l’outil Bezpieczna Poczta de CERT Polska (« Messagerie sûre »), en polonais,
• en envoyant un e-mail de test à l’adresse de learndmarc.com, qui montre pas à pas comment le destinataire vérifie SPF, DKIM et DMARC.

Dressez aussi la liste de tous les services qui envoient des e-mails avec votre domaine dans le champ expéditeur. Outre la boîte mail, il peut s’agir du logiciel de facturation, de la boutique en ligne, de la newsletter, du CRM ou du formulaire du site. Chacun doit être pris en compte dans SPF ou signer ses e-mails avec une clé DKIM ; sinon, une fois DMARC durci, ses e-mails se mettront à tomber en spam.

Étape 2 : corrigez SPF

L’enregistrement SPF est une entrée TXT dans le DNS du domaine, par exemple pour une messagerie chez OVH :

v=spf1 include:mx.ovh.com ~all

Les erreurs les plus fréquentes :

• Deux enregistrements SPF. Un domaine ne peut en avoir qu’un. Quand vous ajoutez un nouveau service, par exemple Google Workspace, ajoutez-le à l’enregistrement existant au lieu d’en ajouter un second : v=spf1 include:mx.ovh.com include:_spf.google.com ~all.
• Trop de services. SPF autorise au maximum 10 requêtes DNS, comptées avec les entrées imbriquées. Une fois la limite dépassée, l’ensemble de l’enregistrement cesse de fonctionner.
• La terminaison +all. Elle signifie que n’importe quel serveur du monde peut envoyer des e-mails depuis votre domaine.

La terminaison ~all signifie « les autres serveurs n’ont probablement pas le droit d’envoyer », et -all signifie « ils n’en ont pas le droit ». Il est plus prudent de commencer par ~all. Ne passez à -all que lorsque vous avez la certitude que tous les services figurent dans l’enregistrement.

Étape 3 : activez DKIM

DKIM s’active dans le panneau du fournisseur de messagerie, qui génère lui-même les clés. La longueur de clé recommandée est de 2048 bits. Exemples de chemins :

• OVHcloud (MX Plan) : Web Cloud → MX Plan → votre domaine → onglet « Informations générales » → étiquette rouge « DKIM » dans la colonne « Diagnostic » → « Activer ». Dans Email Pro, c’est l’onglet « Domaines associés ». L’activation prend de 30 minutes à 24 heures.
• home.pl : Panel Klienta (espace client) → Domeny (domaines) → domaine choisi → section DKIM → « Włącz » (activer). Fonctionne quand le domaine et l’hébergement sont chez home.pl.
• nazwa.pl : Panel Klienta (espace client) → Usługi (services) → Domeny (domaines) → « konfiguruj » (configurer) → Ustawienia zaawansowane (paramètres avancés) → « SPF, DKIM, DMARC ». La clé n’est ajoutée automatiquement que si le domaine utilise les serveurs DNS de nazwa.pl.

Si vous envoyez aussi des e-mails depuis d’autres services (newsletter, factures), activez DKIM chez eux également. Chacun propose dans ses réglages une instruction pour ajouter son propre enregistrement.

Étape 4 : ajoutez DMARC et durcissez progressivement

L’enregistrement DMARC est une entrée TXT sous le nom _dmarc, par exemple :

v=DMARC1; p=none; rua=mailto:dmarc@votreentreprise.pl

La politique p a trois niveaux :

1. p=none, c’est-à-dire de la simple observation. Rien ne change dans la remise des e-mails, mais vous commencez à recevoir des rapports quotidiens à l’adresse indiquée dans rua.
2. p=quarantine : les e-mails qui ne passent pas la vérification vont en spam.
3. p=reject : ces e-mails sont rejetés et n’arrivent pas du tout.

Commencez par p=none et lisez les rapports pendant quelques semaines. Les rapports sont des fichiers XML ; il est donc plus facile de les consulter dans un outil gratuit d’analyse DMARC. Quand vous ne voyez plus dans les rapports que vos propres services, avec un SPF ou un DKIM valide, passez à quarantine, puis, quelques semaines plus tard, à reject. Microsoft et CERT Polska recommandent précisément ce passage progressif. Depuis mai 2026, une nouvelle version de la norme DMARC (RFC 9989) est en vigueur. À la place de l’ancien paramètre pct, qui permettait d’appliquer la politique à une partie seulement des e-mails, elle introduit le mode test t=y.

Sur mon propre domaine robimyweb.pl, je suis passé de p=none à p=quarantine après avoir vérifié que tous mes e-mails, ceux de la boîte mail comme ceux du formulaire du site, passent SPF.

Bonus : le logo de l’entreprise à côté des e-mails (BIMI)

Quand DMARC est réglé sur quarantine ou reject, vous pouvez afficher le logo de l’entreprise à côté de vos e-mails dans la boîte de réception du destinataire. Cette technologie s’appelle BIMI et exige un logo au format SVG Tiny PS ainsi qu’un certificat (VMC pour une marque déposée ou CMC sans enregistrement de marque). C’est un agréable complément pour les entreprises qui envoient beaucoup d’e-mails à leurs clients, mais ne commencez pas par là.

Symptômes les plus fréquents et leurs causes

Combien cela coûte

Les enregistrements eux-mêmes ne coûtent rien, il suffit d’avoir accès au panneau du domaine. Si vous ne voulez pas le faire vous-même, je configure SPF, DKIM et DMARC dans le cadre de la maintenance technique à partir de 149 PLN par mois, ou lors d’un audit de sécurité à partir de 990 PLN. Je prépare le domaine et la messagerie professionnelle avec une configuration prête à l’emploi à partir de 390 PLN par an. Tous les prix sont HT.

Vérifiez votre domaine

Saisissez l’adresse de votre site dans l’outil Analyser votre site et voyez comment se porte la messagerie de votre domaine. Si quelque chose est à corriger, envoyez-moi le rapport depuis la page de résultat ou écrivez-moi via le formulaire. Je réponds sous 24 heures, et tout nouveau client bénéficie de 20 % de remise sur sa première commande.