DMARC, SPF, DKIM : pourquoi vos emails finissent en spam

Sans DMARC configuré sur votre domaine, Gmail, Yahoo et Outlook peuvent classer vos emails en spam — même si leur contenu est irréprochable.

Depuis début 2024, les grands fournisseurs de messagerie ont durci leurs exigences d'authentification. Résultat : chaque devis, chaque facture et chaque newsletter peut finir en indésirable si votre domaine n'est pas correctement blindé. L'authentification email repose sur trois mécanismes complémentaires — SPF, DKIM et DMARC — que les serveurs de réception vérifient en quelques millisecondes avant même d'afficher votre message.

Chez ConsilioWEB, nous configurons systématiquement ces enregistrements pour chaque site que nous livrons. Nous avons vu des PME perdre 30 à 40 % de leur taux d'ouverture sur leurs emails transactionnels faute d'un paramétrage correct. Cet article vous explique chaque mécanisme en clair, comment diagnostiquer votre domaine avec des outils gratuits, et comment monter progressivement en politique DMARC sans bloquer vos envois légitimes.

Le durcissement Gmail, Yahoo et Outlook expliqué

En février 2024, Google et Yahoo ont imposé de nouvelles règles pour les expéditeurs massifs. Tout domaine envoyant plus de 5 000 emails par jour à des comptes Gmail doit désormais disposer de SPF, DKIM et DMARC. Microsoft Outlook a suivi une trajectoire similaire fin 2024.

Ce durcissement répond à une explosion des tentatives de phishing et de spoofing. En 2023, près de 3,4 milliards de faux emails étaient envoyés chaque jour en usurpant des domaines légitimes. Les opérateurs de messagerie ont donc décidé de faire porter la responsabilité sur les propriétaires de domaines.

Mais attention : même si vous envoyez moins de 5 000 emails par jour, ces exigences vous concernent. Les algorithmes anti-spam de Gmail utilisent SPF, DKIM et DMARC comme signaux de confiance positifs. Leur absence fait baisser votre score de réputation progressivement.

Concrètement, voici ce que risque votre PME sans authentification :

• Vos devis partent en spam chez vos prospects
• Vos factures PDF n'arrivent jamais à destination
• Vos newsletters atteignent 10 à 15 % des boîtes au lieu de 70 %
• Votre domaine peut être blacklisté si un tiers l'usurpe pour du phishing

Ces conséquences vont bien au-delà de la délivrabilité. Un domaine associé à du spam voit aussi sa e-réputation sur Google se détériorer. Les prospects qui cherchent votre entreprise peuvent tomber sur des signalements négatifs liés à ces usurpations.

La bonne nouvelle : configurer SPF, DKIM et DMARC ne coûte rien. Cela demande 30 à 60 minutes la première fois, puis zéro maintenance si c'est bien fait.

SPF, DKIM, DMARC : les 3 verrous en langage clair

Ces trois mécanismes fonctionnent ensemble mais remplissent des rôles distincts. Voici comment les démêler.

SPF : qui a le droit d'envoyer en votre nom ?

SPF (Sender Policy Framework) est un enregistrement DNS de type TXT. Il liste les serveurs autorisés à envoyer des emails depuis votre domaine.

Exemple concret : si votre site envoie via Google Workspace et que vous utilisez aussi Brevo pour vos newsletters, votre enregistrement SPF doit inclure les deux services.

1v=spf1 include:_spf.google.com include:_spf.sendinblue.com ~all
Copy

Le ~all en fin d'enregistrement signifie « ce qui ne correspond pas est suspect » (softfail). Le -all est plus strict : tout le reste est rejeté définitivement.

La limite de SPF : il ne vérifie que l'enveloppe technique de l'email, pas l'en-tête "From" visible par le destinataire. C'est précisément pour ça que DKIM et DMARC sont indispensables.

DKIM : une signature cryptographique sur chaque email

DKIM (DomainKeys Identified Mail) ajoute une signature numérique à chaque email sortant. Le serveur de réception vérifie cette signature grâce à une clé publique publiée dans vos DNS.

En pratique, votre outil d'envoi génère une paire de clés. Vous publiez la clé publique dans un enregistrement DNS sous un sous-domaine spécifique :

1selector1._domainkey.votredomaine.fr  IN  TXT  "v=DKIM1; k=rsa; p=MIGfMA0G..."
Copy

DKIM garantit deux choses :

1. L'email vient d'un serveur autorisé par votre domaine
2. Le contenu n'a pas été modifié en transit

Contrairement à SPF, DKIM survit aux transferts d'email si le contenu n'est pas altéré. Ce point est crucial : nous y reviendrons dans la section sur les pièges.

DMARC : le chef d'orchestre des deux premiers

DMARC (Domain-based Message Authentication, Reporting and Conformance) est le mécanisme qui coordonne SPF et DKIM. Il indique aux serveurs de réception quoi faire si un email échoue les deux vérifications.

DMARC ajoute aussi un mécanisme d'alignement : l'adresse "From" visible doit correspondre au domaine vérifié par SPF ou DKIM. C'est ce qui empêche le spoofing même quand l'enveloppe technique est correcte.

Un enregistrement DMARC minimal ressemble à ceci :

1_dmarc.votredomaine.fr  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr"
Copy

Tableau comparatif des 3 mécanismes

Ces trois mécanismes se complètent mutuellement. SPF seul peut être contourné. DKIM seul ne suffit pas si le serveur n'est pas de confiance. C'est DMARC qui fédère les deux et décide de l'action en cas d'échec.

Diagnostiquer son domaine en 10 minutes

Avant de modifier quoi que ce soit dans vos DNS, établissez un état des lieux. Plusieurs outils gratuits permettent de vérifier votre configuration actuelle en quelques clics.

Les outils recommandés

MXToolbox (mxtoolbox.com) est le couteau suisse de l'email. Entrez votre domaine et l'outil affiche immédiatement la présence de SPF, sa syntaxe, l'état de DKIM et la politique DMARC active. L'outil signale aussi les erreurs de configuration fréquentes.

Mail-tester.com propose une approche différente. Vous envoyez un email test à une adresse temporaire. L'outil retourne un score sur 10 avec un détail complet par critère. C'est particulièrement utile pour tester un expéditeur spécifique — votre site, votre outil de mailing, votre CRM.

Google Postmaster Tools (postmaster.google.com) est indispensable si Gmail représente votre audience principale. Il affiche votre réputation de domaine, votre taux de spam signalé et l'état de vos authentifications sur les dernières semaines.

Dmarcian offre un analyseur de rapports DMARC gratuit pour les petits volumes. Une fois DMARC configuré en p=none, vous recevez des rapports XML automatiques que Dmarcian traduit en tableaux lisibles.

Comment interpréter les résultats

Un diagnostic rapide en 3 points :

1. SPF absent → risque de rejet ou softfail sur tous vos envois
2. DKIM absent → pas de signature, score de confiance bas
3. DMARC absent → aucun rapport disponible, aucune protection contre le spoofing

Si votre score Mail-tester est inférieur à 7/10, votre délivrabilité est compromise. En dessous de 5/10, une partie significative de vos emails n'arrivent probablement pas à destination.

Pour les PME françaises utilisant des solutions locales — OVH, Infomaniak, Gandi — les interfaces proposent souvent des assistants de configuration. Cependant, la vérification reste nécessaire. Les assistants font parfois des erreurs ou oublient certains champs critiques.

Pourquoi vérifier même après la configuration initiale ?

Les enregistrements DNS peuvent être modifiés par accident lors d'une migration de domaine ou d'un changement d'hébergeur. De plus, chaque nouvel outil d'envoi que vous ajoutez exige une mise à jour de vos enregistrements SPF et DKIM. Un audit mensuel de 5 minutes avec MXToolbox suffit pour rester serein.

Configurer ses DNS pas à pas

La configuration se fait dans l'interface de gestion de votre nom de domaine. Selon votre hébergeur, l'interface diffère. Mais les champs sont toujours identiques : Nom, Type, Valeur, et parfois TTL (durée de mise en cache).

Étape 1 : configurer SPF

Vérifiez d'abord si un enregistrement SPF existe déjà. S'il en existe un, modifiez-le — n'en ajoutez pas un second. Deux enregistrements SPF causent un échec systématique lors des vérifications.

Identifiez tous les services qui envoient des emails depuis votre domaine :

• Votre hébergeur web (pour les formulaires de contact)
• Google Workspace ou Microsoft 365 si vous utilisez ces suites
• Votre outil de mailing (Mailchimp, Brevo, Sendinblue, Mailjet...)
• Votre CRM si il envoie des notifications automatiques
• Vos outils de facturation ou signature électronique

Exemple pour un site qui envoie via OVH et Brevo :

1v=spf1 include:mx.ovh.com include:_spf.sendinblue.com ~all
Copy

Règle critique : ne dépassez pas 10 lookups DNS dans un enregistrement SPF. Chaque include: compte comme un lookup. Au-delà, SPF échoue systématiquement. Si vous avez de nombreux expéditeurs, utilisez un service de "flattening" comme AutoSPF.

Étape 2 : configurer DKIM

Chaque outil d'envoi génère sa propre paire de clés DKIM. Il n'existe pas d'enregistrement DKIM universel : vous configurez un enregistrement par service.

Pour Google Workspace :

1. Allez dans Admin Console > Gmail > Authentifier l'email
2. Sélectionnez votre domaine, générez la clé
3. Copiez la valeur TXT dans vos DNS

Pour Brevo, Mailchimp ou SendGrid : Chaque outil fournit un assistant dédié. Il vous donne les enregistrements CNAME ou TXT à ajouter. Après propagation (24-48h), l'outil vérifie automatiquement.

Le sélecteur DKIM (le préfixe avant ._domainkey) change selon le service. Vous pouvez avoir plusieurs DKIM actifs sans conflit : ils ont des sélecteurs différents.

Étape 3 : ajouter DMARC en mode surveillance

Une fois SPF et DKIM en place et vérifiés, ajoutez un enregistrement DMARC minimal :

1Nom   : _dmarc.votredomaine.fr
2Type  : TXT
3Valeur: v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr; fo=1
Copy

Le p=none signifie "observe mais n'agis pas". Vous commencez à recevoir des rapports sans risquer de bloquer des emails légitimes.

Paramètres utiles à connaître :

Attendez au moins deux semaines en p=none avant de passer à l'étape suivante. Analysez les rapports pour identifier vos expéditeurs légitimes.

Si vous gérez des campagnes de prospection par email, une bonne authentification DMARC est un prérequis absolu. Notre guide sur le cold email qui obtient des réponses revient en détail sur les bonnes pratiques de délivrabilité pour ce type d'envoi.

Monter en politique DMARC sans casser ses envois

La montée en politique DMARC est progressive. C'est ici que la plupart des PME font des erreurs en allant trop vite.

Les 3 niveaux de politique DMARC

Le protocole de montée en charge recommandé

Semaines 1-2 : p=none avec adresse rua configurée. Analysez les rapports. Identifiez les sources légitimes absentes de SPF ou sans DKIM.

Semaines 3-4 : corrigez les sources identifiées. Ajoutez les serveurs oubliés dans SPF, configurez DKIM pour les outils qui ne l'avaient pas.

Semaines 5-6 : passez à p=quarantine avec pct=10 d'abord. Cela applique la politique à seulement 10 % des emails. Surveillez les rapports de près.

1v=DMARC1; p=quarantine; pct=10; rua=mailto:dmarc@votredomaine.fr
Copy

Semaines 7-8 : montez progressivement pct à 50 %, puis 100 %. Vérifiez à chaque palier que vous ne bloquez pas d'emails légitimes.

Semaine 9 et après : passez à p=reject une fois certain de vos expéditeurs. Supprimez le pct.

1v=DMARC1; p=reject; rua=mailto:dmarc@votredomaine.fr; fo=1
Copy

Comment lire les rapports DMARC

Les rapports arrivent en XML — illisibles sans outil dédié. Utilisez Dmarcian, Postmark DMARC (gratuit) ou EasyDMARC pour les visualiser. Chaque rapport indique :

• L'adresse IP source de l'envoi
• Le nombre de messages concernés
• Le résultat SPF (pass / fail / softfail)
• Le résultat DKIM (pass / fail)
• La disposition appliquée par le serveur de réception

Un rapport propre montre 100 % de "pass" sur vos propres IP. Les "fail" sur des IP inconnues révèlent des tentatives d'usurpation de votre domaine — preuve que DMARC travaille pour vous.

Les pièges : outils tiers, transferts, sous-domaines

C'est la section que la plupart des guides négligent. Or, ce sont ces cas particuliers qui font échouer des configurations pourtant bien pensées.

Le problème du transfert automatique d'email

Quand un destinataire transfère votre email vers une autre adresse, le SPF de l'expéditeur d'origine échoue. Pourquoi ? Parce que l'email est maintenant relayé depuis un serveur absent de votre SPF.

DKIM, en revanche, survit au transfert si le contenu n'est pas modifié. C'est précisément pour ça qu'une configuration DKIM solide est cruciale : elle compense les échecs SPF liés aux transferts.

En p=reject, les emails transférés peuvent être bloqués chez le destinataire final. Si vos clients ou partenaires utilisent massivement les transferts automatiques, restez à p=quarantine en attendant d'avoir une vision claire de ces flux.

Les outils tiers qui envoient en votre nom

C'est le piège le plus fréquent. Voici les outils qui envoient souvent des emails depuis votre domaine sans que vous l'ayez explicitement autorisé :

• Formulaires de contact sur votre site (PHP mail, Nodemailer, WordPress...)
• CRM (HubSpot, Pipedrive, Salesforce)
• Outils de facturation (Pennylane, Axonaut, Sellsy, QuickBooks)
• Plateformes de support client (Zendesk, Freshdesk, Intercom)
• Outils de signature électronique (DocuSign, Yousign)
• Outils de prospection (Lemlist, Apollo, Waalaxy)

Chacun de ces outils qui n'est pas dans votre SPF ou sans DKIM configuré fera échouer vos emails en p=quarantine ou p=reject. Pensez notamment à vos outils de facturation électronique : un bon de commande ou une facture qui finit en spam peut bloquer une vente.

La solution : avant de monter en politique, inventoriez tous vos expéditeurs. Les rapports DMARC en p=none vous aident à les identifier automatiquement — c'est précisément l'un des avantages de commencer par une phase d'observation.

De même, si vous utilisez un outil de support client automatisé qui envoie des notifications par email, vérifiez qu'il est bien référencé dans vos enregistrements SPF et DKIM avant toute montée en politique.

Les sous-domaines oubliés

Votre politique DMARC sur votredomaine.fr ne couvre pas automatiquement app.votredomaine.fr ni mail.votredomaine.fr. Vous avez deux options :

1. Ajouter sp=reject dans votre enregistrement DMARC principal — la même politique s'applique alors à tous les sous-domaines
2. Créer un enregistrement _dmarc.app.votredomaine.fr spécifique avec la politique adaptée

Les sous-domaines utilisés pour des envois spécifiques — notifications transactionnelles, emails de service — méritent leur propre configuration DKIM et leur propre enregistrement DMARC.

La limite des 10 lookups SPF

SPF interdit plus de 10 lookups DNS lors de la vérification. Chaque include:, a:, mx: ou redirect= compte comme un lookup. Si vous cumulez de nombreux outils tiers, vous dépassez cette limite sans le savoir.

Résultat : SPF retourne permerror, traité comme un échec pur et simple. Des services comme AutoSPF ou DMARCLY "aplatissent" votre enregistrement en remplaçant les includes par des adresses IP directes.

L'alignement défaillant avec certains expéditeurs

Certains outils utilisent leur propre domaine technique pour l'enveloppe d'envoi (le chemin de retour), différent de votre domaine "From". Cela casse l'alignement DMARC. Vérifiez toujours l'alignement dans vos rapports.

Si votre outil d'envoi utilise bounce.monoutil.com comme chemin de retour, configurez un domaine d'envoi personnalisé dans l'outil — ou ajustez l'alignement SPF avec aspf=r (mode relaxed) plutôt que strict.

Questions fréquentes sur DMARC, SPF et DKIM

Dois-je configurer DMARC si j'envoie peu d'emails ?

Oui, même en envoyant quelques dizaines d'emails par semaine. D'abord, l'absence de DMARC affecte votre score de délivrabilité. Ensuite, et c'est plus grave, n'importe qui peut usurper votre domaine pour envoyer du phishing. Vos clients pourraient recevoir de faux emails prétendant venir de vous — avec votre adresse dans le champ "From". La configuration DMARC est une protection minimale, pas un luxe.

Combien de temps faut-il pour que les DNS se propagent ?

En général, entre 15 minutes et 48 heures selon votre TTL et votre hébergeur. La plupart des configurations DNS modernes se propagent en 15 à 30 minutes. Utilisez MXToolbox ou la commande dig TXT _dmarc.votredomaine.fr pour vérifier en temps réel sans attendre.

Mon hébergeur configure-t-il DMARC automatiquement ?

Rarement. OVH, Infomaniak et Gandi proposent des assistants pour SPF, mais DMARC reste à la charge de l'utilisateur. Google Workspace configure DKIM via son propre assistant, mais pas DMARC. Vérifiez systématiquement votre configuration avec un outil de diagnostic après chaque assistant automatique — ils font parfois des erreurs.

Quelle est la différence entre ~all et -all dans SPF ?

~all (softfail) marque les emails non autorisés comme suspects mais les livre quand même. -all (fail strict) les rejette. En phase initiale avec p=none ou p=quarantine, utilisez ~all pour éviter de bloquer des envois légitimes oubliés dans votre inventaire. Passez à -all uniquement quand votre SPF est complet, vérifié et stable depuis plusieurs semaines.

DMARC protège-t-il contre tous les types de spam ?

Non. DMARC protège contre l'usurpation d'identité de votre propre domaine (spoofing). Il ne filtre pas les spams envoyés depuis d'autres domaines. Il ne bloque pas non plus le typosquatting — des domaines proches du vôtre avec une lettre modifiée. Pour ces menaces complémentaires, les filtres anti-spam des fournisseurs jouent un rôle distinct.

Sécurisez votre délivrabilité email avant qu'il soit trop tard

DMARC, SPF et DKIM constituent aujourd'hui le socle minimal d'une délivrabilité email saine. Ce n'est plus une option réservée aux grandes entreprises. En 30 à 60 minutes, vous posez les bases d'une configuration robuste qui protège à la fois votre réputation et vos clients.

La démarche est progressive et sans risque si elle est menée correctement. Commencez par SPF et DKIM pour tous vos expéditeurs. Ajoutez ensuite DMARC en p=none pour observer. Montez en charge sur plusieurs semaines, palier par palier. L'enjeu n'est pas technique — il est commercial. Chaque email qui finit en spam est un devis non lu, une facture ignorée, un client perdu.

Pour approfondir votre stratégie de prospection par email, consultez notre guide sur le cold email qui obtient des réponses en 2026. Et si vous gérez des envois commerciaux à grande échelle, notre analyse sur WhatsApp Business en 2026 présente un canal complémentaire avec une délivrabilité native.

Vous souhaitez qu'on audite votre configuration email et vos DNS avant de passer en p=reject ? Notre équipe chez ConsilioWEB accompagne les PME et les CTO dans la sécurisation de leur domaine et de leur délivrabilité. Contactez-nous via notre formulaire de devis pour un audit complet de votre stack email.

Pour aller plus loin

• RFC 7489 — DMARC (IETF) — la spécification officielle du protocole
• Google Postmaster Tools — surveillance de la réputation de votre domaine chez Gmail
• MXToolbox Email Health Check — diagnostic rapide et gratuit de votre configuration
• Dmarcian DMARC Record Wizard — générateur et analyseur de rapports DMARC