Délivrabilité
SPF, DKIM et DMARC : authentifier ses emails et diagnostiquer le spam
Comprenez SPF, DKIM et DMARC, vérifiez l’alignement de votre domaine et diagnostiquez vos emails en spam avec les règles Gmail, Yahoo et Outlook.
SPF, DKIM et DMARC servent à authentifier les emails de votre domaine. SPF autorise des serveurs d’envoi, DKIM signe le message et DMARC vérifie le lien avec le domaine visible de l’expéditeur. Ils réduisent certains risques d’usurpation, mais ne garantissent pas une arrivée en boîte principale.
Si vos emails arrivent en spam, commencez par vérifier l’authentification, puis la qualité des contacts, les plaintes et la régularité des envois. Ce guide explique les contrôles utiles pour une TPE, une PME ou une association.
Quelle différence entre SPF, DKIM et DMARC ?
| Protocole | Ce qu’il vérifie | Point de vigilance |
|---|---|---|
| SPF | Le serveur est autorisé à envoyer pour le domaine d’enveloppe, généralement visible dans le Return-Path. | Ce domaine peut différer de l’adresse From visible ; ne créez pas plusieurs enregistrements SPF pour un même nom. |
| DKIM | Une signature cryptographique lie le message à un domaine et permet de vérifier les éléments signés. | Utilisez les clés et sélecteurs fournis par votre prestataire. |
| DMARC | Au moins un contrôle SPF ou DKIM réussit avec un domaine aligné sur le From visible. | Publier DMARC ne suffit pas : contrôlez l’alignement et les sources d’envoi légitimes. |
Pour DMARC, l’alignement signifie que le domaine authentifié correspond au domaine visible, selon le mode strict ou souple configuré. Un résultat SPF valide sur le domaine du prestataire ne suffit donc pas, à lui seul, à valider DMARC pour votre marque. Une signature DKIM valide et alignée peut permettre cette validation.
Que signifient p=none, quarantine et reject ?
p=none demande une politique de surveillance, sans demander de mise en quarantaine ou de rejet au titre de DMARC. p=quarantine demande un traitement en quarantaine des échecs ; p=reject demande leur rejet. La messagerie applique aussi ses propres règles. Pour recevoir des rapports agrégés, configurez une destination rua adaptée.
Commencez par inventorier tous vos expéditeurs légitimes : messagerie professionnelle, newsletters, facturation et application. Analysez les résultats avant de renforcer la politique DMARC afin de ne pas bloquer vos propres emails.
Que demandent Gmail, Yahoo et Outlook ?
Les exigences varient selon le destinataire et le volume. Les règles pour les gros expéditeurs ne remplacent pas celles applicables à tous les envois.
- Gmail : pour plus de 5 000 messages quotidiens vers les comptes Gmail personnels, les exigences renforcées incluent SPF, DKIM, DMARC et l’alignement. Les messages marketing concernés doivent permettre la désinscription en un clic.
- Yahoo : les expéditeurs en masse doivent notamment utiliser SPF, DKIM et DMARC. Vérifiez sa définition et ses règles plutôt que de transposer automatiquement le seuil Gmail.
- Outlook.com : Microsoft a annoncé des exigences SPF, DKIM et DMARC pour les domaines à fort volume, avec mise en application à partir de mai 2025.
Un lien de désabonnement visible dans le corps du message ne remplace pas, à lui seul, les en-têtes techniques de désinscription en un clic. Votre logiciel d’envoi doit gérer ce mécanisme.
Pourquoi mes emails arrivent-ils en spam malgré SPF et DKIM ?
L’authentification est une condition de confiance, pas une garantie de placement. La réputation, les plaintes, les adresses invalides, le contenu et les variations de volume influencent aussi le traitement du message.
- Examinez un message reçu : dans Gmail, ouvrez « Afficher l’original » et consultez les résultats SPF, DKIM et DMARC.
- Contrôlez l’alignement : comparez le domaine du From avec celui de la signature DKIM et du Return-Path. Les résultats doivent correspondre à votre configuration.
- Vérifiez le DNS : nom d’enregistrement, valeur, sélecteur DKIM et absence de doublon SPF. Copiez les valeurs fournies pour votre domaine, pas celles d’un exemple générique.
- Lisez les erreurs de livraison : distinguez un refus d’authentification, une adresse inexistante et une limitation temporaire.
- Contrôlez votre audience : traitez les plaintes et les exclusions, puis reprenez progressivement après une longue interruption.
Pour la suite, notre guide explique comment nettoyer une liste email. Utilisez aussi les statistiques de campagne pour repérer les changements, sans confondre livraison et arrivée en boîte principale.
Configurer son domaine d’envoi avec Sendora
Dans Sendora, ajoutez votre domaine et reprenez les enregistrements affichés pour votre compte : vérification du domaine, clés DKIM et configuration DMARC. Les valeurs doivent être publiées chez le fournisseur qui gère votre DNS. Un SPF existant pour votre messagerie ne couvre pas nécessairement toutes vos autres sources d’envoi.
Après publication, relancez la vérification dans Sendora puis envoyez un message de test. La détection des enregistrements DNS et le résultat d’authentification d’un email reçu sont deux contrôles complémentaires. Le délai de propagation dépend notamment du cache et du TTL.
Questions fréquentes
DMARC fonctionne-t-il si SPF échoue ?
Oui, si DKIM réussit avec un domaine aligné. Inversement, SPF valide et aligné peut suffire à DMARC. Cela ne dispense pas de respecter les exigences supplémentaires de la messagerie destinataire.
Peut-on copier un SPF trouvé dans un article ?
Non. Utilisez les valeurs officielles de vos prestataires pour votre configuration. Ajouter une autorisation inventée ou écraser l’enregistrement existant peut perturber les envois légitimes.
DMARC empêche-t-il toutes les usurpations ?
Non. Il contribue à protéger le domaine visible lorsque la politique est appliquée. Il ne bloque pas à lui seul les domaines ressemblants, les faux noms d’affichage ou les comptes compromis.
