SPF, DKIM et DMARC : comment authentifier votre domaine pour que votre e-mail ne tombe pas en spam

Votre e-mail affiche « envoyé » mais le client jure qu’il n’est jamais arrivé. Avant de vérifier le texte ou la liste, vérifiez ce qui suit : la cause technique numéro un d’un e-mail qui tombe en spam — ou qui n’entre même pas — est l’authentification du domaine. Et depuis 2024, elle a cessé d’être optionnelle. Ce guide explique en clair ce que sont SPF, DKIM et DMARC, pourquoi les trois ensemble comptent, et comment les activer sans vous bloquer vous-même.

La bonne nouvelle : ce sont des enregistrements que l’on configure une seule fois dans le DNS de votre domaine. Ce n’est pas un travail quotidien ; c’est de bien les poser et de les maintenir.

Ce qui se passe si vous ne les avez pas (la réalité de 2026)

Gmail et Yahoo ont rendu l’authentification obligatoire en février 2024 pour ceux qui envoient en volume ; Microsoft (Outlook, Hotmail, Live) s’y est joint en mai 2025. Et ce n’est plus seulement « on vous envoie en spam » : depuis novembre 2025, Gmail rejette au niveau du serveur les e-mails non authentifiés — ils n’atteignent même pas le dossier spam, ils rebondissent.

Est considéré comme « expéditeur en masse » celui qui envoie 5 000 e-mails ou plus par jour à un même fournisseur (les adresses Gmail personnelles, par exemple). Et un détail clé : si vous franchissez ce seuil une fois, vous êtes classé comme expéditeur en masse de façon permanente, même si vous baissez ensuite le volume. La recommandation des trois fournisseurs est claire : quiconque envoie sérieusement devrait avoir les trois, quelle que soit sa taille.

SPF : qui peut envoyer en votre nom

Le SPF (Sender Policy Framework) est une liste, publiée dans votre DNS, des serveurs autorisés à envoyer du courrier en utilisant votre domaine. Quand un e-mail arrive, le fournisseur regarde de quel serveur il provient et le compare à votre liste. Si l’IP n’y est pas, cela éveille les soupçons.

En pratique, c’est un enregistrement TXT à la racine de votre domaine qui inclut votre fournisseur d’envoi. Trois choses que presque personne ne soigne :

La limite de 10 requêtes DNS. Un enregistrement SPF ne peut déclencher que 10 recherches. Si vous enchaînez beaucoup d’outils (votre plateforme e-mail, le CRM, la facturation, Google Workspace…), vous dépassez, le SPF renvoie PermError et échoue complètement. Il faut l’auditer et le consolider.
~all avant -all. La fin de l’enregistrement définit votre niveau de sévérité. Commencez par ~all (échec doux) et durcissez à -all (rejet) seulement après avoir confirmé que tout votre courrier légitime passe. Durcir trop tôt bloque vos propres envois.
Le SPF casse lors du transfert. Si quelqu’un transfère votre e-mail, l’IP du transféreur n’est pas sur votre liste et le SPF échoue. C’est pourquoi le SPF seul ne suffit pas : il faut le DKIM.

DKIM : le sceau qui prouve que le courrier est le vôtre

Le DKIM (DomainKeys Identified Mail) appose sur chaque message une signature cryptographique. La clé privée est conservée par votre fournisseur d’envoi ; la publique vit dans votre DNS. Le destinataire vérifie la signature et confirme deux choses : que l’e-mail provient bien de votre domaine et que personne ne l’a altéré en chemin.

L’essentiel, en clair :

Utilisez une clé de 2048 bits (l’option élevée). Yahoo rejette les vieilles clés de 512 bits même si tout le reste est correct.
Contrairement au SPF, le DKIM survit au transfert. C’est pourquoi il est le pilier de l’authentification moderne.
Il vaut mieux faire tourner la clé une fois par an ; la plupart des fournisseurs l’automatisent.

DMARC : la règle qui relie tout (et vous alerte)

Le DMARC est l’instruction qui dit au fournisseur quoi faire quand un e-mail prétend être le vôtre mais échoue au SPF et au DKIM. Il a trois niveaux de politique :

p=none — observe seulement. Ne bloque rien ; vous envoie des rapports. C’est le point de départ.
p=quarantine — envoie ce qui échoue vers le dossier spam.
p=reject — rejette le courrier qui échoue. Protection maximale contre l’usurpation.

De plus, le DMARC vous envoie des rapports (la balise rua) : un résumé quotidien de qui envoie — ou usurpe — avec votre domaine. C’est de l’or : vous découvrez des services légitimes que vous avez oublié d’autoriser et, au passage, les imposteurs.

p=none vous met « en règle » pour commencer, mais les fournisseurs ont déjà prévenu que ce n’est que la première phase : y rester pour toujours est un mauvais signal de confiance. L’objectif d’une marque sérieuse en 2026 est d’avancer au moins à p=quarantine.

Le piège qui casse presque toutes les configurations : l’alignement

C’est là que la majorité tombe. Il ne suffit pas que le SPF ou le DKIM « passent » : le domaine que le client voit dans le champ De : doit coïncider (s’aligner) avec le domaine qui a validé le SPF ou le DKIM. Un SPF qui passe techniquement mais qui ne s’aligne pas avec votre De : fait quand même échouer le DMARC.

C’est l’erreur la plus fréquente quand vous utilisez plusieurs plateformes : le courrier part « bien signé », mais sous un autre domaine, et le DMARC le marque comme suspect. Si vous voyez des erreurs comme 421-4.7.32 (Gmail) ou 550 5.7.515 (Microsoft), c’est presque toujours l’alignement.

Comment le déployer sans bloquer votre propre courrier

L’ordre compte, car mal faire vous laisse sans pouvoir envoyer :

SPF à la racine, en incluant votre fournisseur d’envoi, se terminant par ~all et en dessous de 10 requêtes DNS.
DKIM avec une clé de 2048 bits, en publiant dans votre DNS l’enregistrement que vous donne votre fournisseur.
DMARC sur _dmarc.votredomaine, en commençant à p=none avec rua pointant vers une boîte que vous consultez. Quelque chose comme : v=DMARC1; p=none; rua=mailto:[email protected]; aspf=r; adkim=r.
Observez les rapports pendant une à quatre semaines. Quand vous confirmez que tout votre courrier légitime passe et s’aligne, passez à p=quarantine et, plus tard, à p=reject (et durcissez le SPF à -all).

Un oubli fréquent : le DMARC de votredomaine.com ne couvre pas les sous-domaines. Si vous envoyez depuis mail.votredomaine.com, ce sous-domaine a besoin de son propre enregistrement.

N’oubliez pas le désabonnement en un clic

Avec l’authentification, les fournisseurs exigent un désabonnement en un clic pour le courrier de masse. Et attention : ce n’est pas le lien « se désabonner » au pied de l’e-mail. Ce sont deux en-têtes techniques (List-Unsubscribe et List-Unsubscribe-Post, selon la RFC 8058) qui permettent à Gmail d’afficher un bouton « Se désabonner » au-dessus du message. C’est, en fait, l’exigence que le plus d’expéditeurs ne respectent pas. Faciliter la sortie à ceux qui veulent partir réduit les plaintes pour spam — et, au Panama, vous aide à respecter le droit d’opposition exigé par la Loi 81.

Comment savoir si c’est bon

Ne devinez pas : mesurez. Enregistrez votre domaine dans Google Postmaster Tools (et dans les tableaux de bord de Yahoo et Microsoft) pour voir votre authentification et votre taux de plaintes tels qu’ils les voient. Il existe des vérificateurs gratuits de SPF, DKIM et DMARC pour un aperçu rapide. Et rappelez-vous le chiffre qui gouverne tout : votre taux de plaintes doit rester sous 0,3 % — idéalement près de 0,1 %.

Le panorama complet de ce qu’est la délivrabilité, des règles de Gmail et Yahoo et de la réputation est dans notre guide sur la délivrabilité e-mail.

Au Panama : comment nous le résolvons

Configurer SPF, DKIM et DMARC correctement — alignés, sans dépasser les 10 requêtes, avec la politique qui monte par phases et les rapports surveillés — est précisément le genre de détail technique qui coule les campagnes quand c’est fait à moitié. Dans notre service de délivrabilité, nous le laissons en place et surveillé pour vous : authentification alignée, désabonnement en un clic, réputation soignée et la politique DMARC qui avance jusqu’où votre courrier peut le supporter sans se bloquer.

Vous ne savez pas dans quel état est votre domaine aujourd’hui ? Commencez par le diagnostic gratuit : nous vous disons si votre authentification passe, où elle s’aligne mal et quoi corriger en premier.