SPF, DKIM, DMARC : configurer son domaine pour que ses e-mails arrivent en boîte de réception

Confirmation d'inscription, réinitialisation de mot de passe, relance commerciale, newsletter : si vos e-mails n'arrivent pas, c'est tout votre parcours client qui s'arrête. Or les grands fournisseurs ont durci le ton. Gmail et Yahoo imposent depuis février 2024 des règles aux expéditeurs en volume, et Gmail rejette de plus en plus les messages non conformes depuis fin 2025. Microsoft rejette depuis le 5 mai 2025 les messages mal authentifiés des domaines qui envoient plus de 5 000 e-mails par jour vers Outlook.com (erreur 550 5.7.515).

Les trois briques en une phrase chacune

• SPF : la liste des serveurs autorisés à envoyer des e-mails pour votre domaine.
• DKIM : une signature cryptographique qui prouve que le message n'a pas été modifié et vient bien de votre domaine.
• DMARC : la politique qui dit aux destinataires quoi faire si SPF et DKIM échouent, et qui vous envoie des rapports.

Étape 1 : faire l'inventaire des expéditeurs

Avant de toucher au DNS, listez tout ce qui envoie des e-mails avec votre domaine : messagerie (Google Workspace, Microsoft 365), application Laravel via un service transactionnel, outil d'emailing, CRM, formulaire du site, outil de facturation. Un expéditeur oublié sera bloqué au moment où DMARC se durcira.

Étape 2 : SPF

Un seul enregistrement TXT à la racine du domaine :

v=spf1 include:_spf.google.com include:spf.votre-service.com ~all

• Un seul enregistrement SPF par domaine : en avoir deux invalide les deux.
• Pas plus de 10 recherches DNS (chaque include compte, ainsi que ceux qu'il contient).
• Commencez par ~all (échec doux), passez à -all quand tout est vérifié.

Étape 3 : DKIM

Chaque service d'envoi génère une clé et vous donne un enregistrement à publier, généralement un TXT ou un CNAME sous la forme selecteur._domainkey.votredomaine.com. Activez-le dans chaque outil de l'inventaire et privilégiez des clés de 2048 bits.

Étape 4 : DMARC, progressivement

Publiez un TXT sur _dmarc.votredomaine.com, en commençant par le mode observation :

v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r

1. 2 à 4 semaines en p=none : analysez les rapports (un outil de lecture des rapports DMARC aide beaucoup) pour repérer les expéditeurs légitimes non alignés.
2. Corrigez-les (SPF ou DKIM aligné sur votre domaine).
3. Passez à p=quarantine, éventuellement avec pct=25 puis 100.
4. Terminez par p=reject : plus personne ne peut usurper votre domaine.

L'alignement est la clé : DMARC exige que le domaine validé par SPF ou DKIM corresponde au domaine visible dans le champ « De ». Un service qui signe avec son propre domaine ne suffit pas.

Les autres règles des expéditeurs en volume

• Désinscription en un clic (en-têtes List-Unsubscribe et List-Unsubscribe-Post) pour les e-mails marketing, traitée sous deux jours.
• Taux de plainte pour spam sous 0,1 %, sans jamais atteindre 0,3 % chez Gmail. Surveillez-le dans Google Postmaster Tools.
• DNS inverse (PTR) valide et connexion TLS pour les serveurs d'envoi.

Dans une application Laravel

• Envoyez via un service transactionnel (configuré dans config/mail.php) plutôt que via le serveur web lui-même.
• Utilisez une adresse from de votre domaine authentifié, jamais un domaine tiers.
• Séparez si possible les flux : un sous-domaine pour le transactionnel (notifications.votredomaine.com), un autre pour le marketing. Une campagne qui génère des plaintes ne pénalisera pas vos e-mails de mot de passe.
• Passez l'envoi par les files d'attente pour gérer proprement les erreurs temporaires (codes 4xx).

Vérifier sa configuration

Envoyez un e-mail vers une adresse Gmail et ouvrez « Afficher l'original » : SPF, DKIM et DMARC doivent afficher PASS. Répétez le test pour chaque outil d'envoi de votre inventaire.

Conclusion

SPF, DKIM et DMARC ne sont plus une option technique : ce sont les conditions d'accès aux boîtes de réception. Prévoyez une demi-journée pour l'inventaire et le DNS, puis quelques semaines d'observation avant d'appliquer une politique stricte. En bonus, DMARC en p=reject protège vos clients contre l'hameçonnage à votre nom.