Guide
SPF, DKIM et DMARC : protéger la messagerie d’une PME
SPF, DKIM et DMARC empêchent qu’on envoie de faux e-mails en votre nom et aident vos vrais messages à arriver. Google, Yahoo et Microsoft les exigent déjà des gros expéditeurs. Voici ce qu’ils font, en clair, et comment les mettre en place sans bloquer vos propres factures.
Mis à jour le 18 octobre 2026 · Les chiffres sont sourcés en bas de page ; les appréciations sont celles d’IT CyberWall.
Pourquoi c’est votre affaire
N’importe qui peut envoyer un e-mail qui semble venir de votre domaine : une fausse facture à vos clients, un faux ordre de virement à votre comptable. Trois réglages, publiés dans le DNS de votre nom de domaine, permettent aux messageries de vos destinataires de reconnaître vos vrais messages. Ils protègent votre messagerie et votre réputation, pas vos données : ce n’est pas une sauvegarde.
SPF, DKIM et DMARC en clair
| Réglage | Ce qu’il dit | Image |
|---|---|---|
| SPF | La liste des serveurs autorisés à envoyer des messages au nom de votre domaine[1]. | La liste des facteurs autorisés. |
| DKIM | Une signature numérique ajoutée à chaque message, qui relie le message à votre domaine[2]. | Le cachet de l’entreprise sur l’enveloppe. |
| DMARC | Votre consigne aux destinataires quand un message échoue aux contrôles (ne rien faire, mettre en indésirables, rejeter), et l’envoi de rapports[3]. | La consigne laissée à l’accueil. |
L’ANSSI consacre à ces trois mécanismes une partie de ses recommandations sur l’interconnexion d’un système d’information à internet[4].
Ce qu’exigent Google, Yahoo et Microsoft
- Google, depuis le 1er février 2024 : SPF ou DKIM pour tous les expéditeurs ; SPF, DKIM et DMARC pour ceux qui envoient plus de 5 000 messages par jour vers Gmail[5].
- Yahoo : SPF ou DKIM pour tous ; SPF, DKIM et DMARC pour les envois en masse[6].
- Microsoft Outlook.com, depuis le 5 mai 2025 : SPF, DKIM et DMARC pour les domaines qui envoient plus de 5 000 messages par jour ; à défaut, les messages vont en indésirables, puis sont rejetés[7].
Même une PME qui envoie peu de messages a intérêt à publier les trois : ses factures et ses devis arrivent mieux, et son nom est plus difficile à usurper.
La mise en place, étape par étape
- Recenser tout ce qui envoie des messages en votre nom : messagerie, logiciel de facturation, CRM, site web, outil d’e-mailing, imprimante qui envoie des scans.
- Publier un SPF qui liste ces expéditeurs, sans en oublier.
- Activer DKIM pour chaque service qui le permet.
- Publier un DMARC en observation (politique « none ») et recevoir les rapports.
- Lire les rapports pendant quelques semaines : ils révèlent les expéditeurs oubliés et les usurpations.
- Durcir progressivement : mise en indésirables (« quarantine »), puis rejet (« reject »), que Microsoft recommande[7].
Ce que fait IT CyberWall
Nous faisons l’inventaire de vos expéditeurs, publions et testons les enregistrements SPF, DKIM et DMARC, lisons les rapports avec vous et durcissons la politique quand c’est sans risque. C’est une intervention courte, qui s’intègre à nos prestations de cybersécurité.
Vos e-mails arrivent en indésirables, ou votre nom est usurpé ?
Nous vérifions vos enregistrements et mettons en place SPF, DKIM et DMARC.
Sources
Sources consultées le 18 octobre 2026. Les tarifs des fournisseurs sont indiqués hors taxes, dans la devise et la région de la grille publiée, et peuvent évoluer : vérifiez toujours la page officielle avant de décider.
- IETF – RFC 7208, Sender Policy Framework (SPF), avril 2014 — www.rfc-editor.org/rfc/rfc7208
- IETF – RFC 6376, DomainKeys Identified Mail (DKIM) Signatures, septembre 2011 — www.rfc-editor.org/rfc/rfc6376
- IETF – RFC 9989, DMARC (mai 2026, remplace la RFC 7489) — www.rfc-editor.org/rfc/rfc9989
- ANSSI – Recommandations relatives à l’interconnexion d’un système d’information à internet, v3.0 (19 juin 2020), § 5.4 — messervices.cyber.gouv.fr/guides/recommandations-relatives-linterconnexion-dun-si-internet
- Google – Consignes pour les expéditeurs de messages — support.google.com/a/answer/81126?hl=fr
- Yahoo – Sender Best Practices — senders.yahooinc.com/best-practices/
- Microsoft – Outlook.com Policies, Practices, and Guidelines — substrate.office.com/ip-domain-management-snds/Postmaster/Policies