Une soumission qui n'arrive pas, une facture retrouvée dans les courriels indésirables : quand vos courriels tombent dans les pourriels, la cause se lit dans l'en-tête du message reçu. Trois enregistrements de votre domaine, SPF, DKIM et DMARC, prouvent aux messageries que vos envois viennent bien de vous. Ce guide les pose dans l'ordre.
Authentication-Results donne le verdict SPF, DKIM et DMARC._dmarc.votre-domaine.com, en commençant par p=none et une adresse de rapports.p=quarantine, et enfin à p=reject.Chaque messagerie qui reçoit un courriel vérifie d'où il vient et consigne le résultat dans l'en-tête du message. Pour le lire, envoyez un courriel depuis votre adresse professionnelle vers une adresse Gmail, ouvrez-le, puis cliquez sur Plus (les trois points) et Afficher l'original. Cherchez la ligne Authentication-Results :
Authentication-Results: mx.google.com;
dkim=pass header.i=@votre-domaine.com header.s=google;
spf=pass (google.com: domain of contact@votre-domaine.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=contact@votre-domaine.com;
dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=votre-domaine.com| Vous lisez | Ce que cela veut dire | La section à suivre |
|---|---|---|
spf=fail ou spf=softfail | Le serveur qui a envoyé le message n'est pas dans la liste SPF du domaine. | 1. SPF |
spf=permerror | L'enregistrement SPF est invalide : deux enregistrements pour un même domaine, ou plus de dix recherches DNS. | 1. SPF |
dkim=none ou dkim=fail | Le message n'est pas signé, ou la clé publiée dans le DNS ne correspond pas à la signature. | 2. DKIM |
dmarc=fail | Ni SPF ni DKIM ne valident le domaine de l'adresse d'expédition visible par le destinataire. | 3. DMARC, et le formulaire du site |
Tout est à pass | L'authentification est en ordre : la cause est ailleurs, réputation, volume ou contenu. | Quand tout passe |
Ces trois réglages sont inégalement répandus. Sur les 1 730 domaines de PME qui reçoivent du courrier dans notre relevé mensuel, 96 % publient un SPF, et 71 % n'ont aucune politique DMARC qui agit sur le résultat.
SPF est un enregistrement TXT posé à la racine du domaine. Il commence par v=spf1, nomme les serveurs autorisés à envoyer pour le domaine, et se termine par ce qu'il faut penser de tous les autres. Les deux fournisseurs de messagerie les plus répandus publient la valeur à utiliser :
v=spf1 include:_spf.google.com ~allv=spf1 include:spf.protection.outlook.com -allChaque autre service qui envoie avec votre domaine s'ajoute dans ce même enregistrement : outil d'envoi d'infolettres, logiciel de facturation, CRM, et le serveur de votre site si ses formulaires envoient eux-mêmes. Chacun indique dans sa documentation le include: à ajouter ; un serveur se déclare par son adresse, avec ip4: :
v=spf1 include:_spf.google.com ip4:203.0.113.25 ~allv=spf1 rendent SPF invalide (permerror) : fusionnez-les en un seul.include, a, mx, ptr, exists et redirect compte, y compris ceux que contiennent les include. Au-delà de dix, SPF est invalide. ip4 et ip6 ne comptent pas.-all déclare tout autre serveur non autorisé, ~all le signale sans le déclarer illégitime. Google propose ~all dans sa documentation, Microsoft -all. Une fois DMARC en place, c'est sa politique qui décide du sort d'un message qui échoue.DKIM ajoute à chaque message une signature, que la messagerie du destinataire vérifie avec une clé publique publiée dans votre DNS, sous un nom de la forme sélecteur._domainkey.votre-domaine.com. La signature se génère chez le service qui envoie ; votre rôle est de publier la clé qu'il vous donne.
google, et Google recommande une clé de 2 048 bits. Publiez l'enregistrement TXT google._domainkey, puis revenez cliquer sur « Lancer l'authentification ».https://security.microsoft.com/authentication?viewid=DKIM). DKIM y repose sur deux enregistrements CNAME, selector1._domainkey et selector2._domainkey, dont le portail affiche les valeurs exactes pour votre domaine : copiez-les telles quelles, puis activez la signature.Gmail accepte les clés de 1 024 bits et plus ; 2 048 bits est la longueur recommandée par le standard. Comptez jusqu'à 48 heures avant que la clé publiée soit visible partout.
DMARC relie SPF et DKIM à l'adresse que voit le destinataire, celle du champ From. Un message passe DMARC si SPF ou DKIM est valide pour le domaine de cette adresse : c'est l'alignement. L'enregistrement dit aussi quoi faire d'un message qui échoue, et où envoyer les rapports.
v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.com| Politique | Ce que le domaine demande | Quand la choisir |
|---|---|---|
p=none | Aucune action : les messageries envoient seulement des rapports. | Au départ, pour recenser tout ce qui envoie avec votre domaine. |
p=quarantine | Classer dans les courriels indésirables les messages qui échouent. | Quand les rapports ne montrent plus que des envois légitimes qui passent. |
p=reject | Refuser les messages qui échouent. | Quand quarantine est en place depuis quelques semaines sans perte de message légitime. |
p=none avec une adresse rua. Les grandes messageries y envoient chaque jour un rapport agrégé, un fichier XML compressé qui liste les serveurs ayant envoyé avec votre domaine et leur résultat.p=quarantine, puis, après quelques semaines sans perte, à p=reject. Si vos équipes écrivent sur des listes de diffusion, restez à quarantine : le standard déconseille reject pour ces domaines, car les listes modifient les messages qu'elles redistribuent.Les guides plus anciens proposent une montée progressive avec la balise pct. La version actuelle du standard DMARC, le RFC 9989 publié en mai 2026, ne la reconnaît plus : la progression se fait par la politique elle-même.
Beaucoup de formulaires de site envoient le message avec l'adresse du visiteur comme expéditeur. Le serveur du site n'a aucune autorisation sur le domaine de ce visiteur : SPF et DKIM ne peuvent pas s'aligner, et DMARC échoue. Si la messagerie du visiteur publie une politique stricte (yahoo.com publie p=reject), le message est refusé ou classé dans les courriels indésirables avant de vous parvenir.
formulaire@votre-domaine.com.Reply-To) : l'adresse du visiteur, pour que le bouton Répondre lui écrive directement.https://check.spamhaus.org/, vérifie gratuitement une adresse IP ou un domaine.p=none, l'alignement, le désabonnement en un clic, et un taux de pourriels signalés sous 0,3 %. Depuis novembre 2025, Gmail refuse une partie des messages qui ne respectent pas ces règles. Yahoo applique des exigences proches sans publier de seuil, et Outlook.com refuse depuis le 5 mai 2025 les messages des domaines qui envoient plus de 5 000 messages par jour sans SPF, DKIM et DMARC.postmaster.google.com) montre la réputation de votre domaine et le taux de pourriels signalés chez Gmail, une fois le domaine validé par un enregistrement DNS. Les tableaux se remplissent à partir d'un volume d'envoi suffisant.Simafri Suite réunit les courriels, l'agenda, les contacts et les fichiers de toute votre équipe à votre nom de domaine, mis en place, sécurisés et accompagnés par Simafri. Un compte, des utilisateurs illimités, sans engagement.
Chaque messagerie applique ses propres filtres et sa propre lecture de SPF, DKIM et DMARC. Un message peut passer chez l'une et être classé dans les courriels indésirables chez une autre, en particulier si l'authentification est incomplète. L'en-tête Authentication-Results du message reçu donne le verdict de la messagerie concernée.
Un domaine porte un seul enregistrement SPF. Avec deux enregistrements qui commencent par v=spf1, la vérification SPF renvoie une erreur permanente (permerror). Fusionnez les deux en un seul enregistrement qui reprend tous les include et toutes les adresses.
Le temps que l'enregistrement se propage, selon sa durée de vie (TTL) : de quelques minutes à 48 heures. Google indique jusqu'à 48 heures pour SPF et DKIM. Vérifiez ensuite avec un nouvel envoi vers Gmail et la commande Afficher l'original.
p=none demande seulement des rapports : les messageries n'appliquent aucune mesure aux messages qui échouent. Cette étape sert à recenser les services qui envoient avec votre domaine. La protection contre l'usurpation vient avec p=quarantine, puis p=reject.
Simafri
Parlons de votre site web
Dites-nous en deux mots votre projet : on revient vers vous rapidement.
Merci ! Votre demande a bien été envoyée. Nous vous répondrons rapidement.
Vous préférez l'email ? Écrivez-nous à support@simafri.com.