Sécurité email

Comment configurer DMARC : le guide pas à pas pour les PME

Équipe Cyber-Guard · 2026-10-14 · 9 min de lecture

N'importe qui peut envoyer un email en affichant votre adresse comme expéditeur. C'est la base des arnaques au faux fournisseur et au faux changement de RIB : le message semble venir de chez vous, et vos clients n'ont aucune raison de se méfier.

DMARC est le réglage qui permet aux messageries de repérer et de bloquer ces faux emails. Il s'appuie sur deux autres protections, SPF et DKIM, et se configure entièrement dans la zone DNS de votre domaine. Comptez environ une heure de configuration, puis quelques semaines d'observation avant de passer en mode bloquant.

Pourquoi c'est devenu incontournable

Depuis février 2024, Gmail et Yahoo exigent SPF, DKIM et un enregistrement DMARC (au minimum en mode p=none) des domaines qui leur envoient plus de 5 000 emails par jour. Microsoft applique les mêmes règles depuis le 5 mai 2025 pour Outlook.com, Hotmail et Live : les messages non conformes partent d'abord en spam, puis sont rejetés.

Même si vous envoyez beaucoup moins d'emails, ces trois réglages améliorent votre délivrabilité et rendent l'usurpation de votre domaine bien plus difficile.

Avant de commencer

Un accès à la zone DNS de votre domaine, chez votre registrar ou votre hébergeur (OVH, Hostinger, Gandi, Cloudflare...).
La liste de tous les services qui envoient des emails avec votre domaine : messagerie, outil de newsletter, CRM, logiciel de facturation, formulaires du site.
Une adresse pour recevoir les rapports DMARC, par exemple dmarc@votre-domaine.fr.

Le deuxième point est le plus souvent négligé. Un service oublié, c'est un service dont les emails seront bloqués le jour où vous durcirez DMARC.

Étape 1 : vérifier ou créer l'enregistrement SPF

SPF liste les serveurs autorisés à envoyer des emails pour votre domaine. C'est un enregistrement TXT placé à la racine du domaine (tous les détails dans notre article SPF : comprendre et configurer l'enregistrement). Exemple pour une entreprise sur Google Workspace qui utilise aussi un outil de newsletter :

Type   : TXT
Nom    : @ (la racine de votre-domaine.fr)
Valeur : v=spf1 include:_spf.google.com include:spf.votre-outil-newsletter.com ~all

Chaque service indique dans sa documentation la mention include: à ajouter. Trois règles à respecter :

Un seul enregistrement SPF par domaine. S'il y en a deux, SPF est considéré comme invalide.
Dix consultations DNS au maximum : chaque include: en compte au moins une. Retirez les services que vous n'utilisez plus.
Terminez par ~all pendant la mise en place, puis par -all quand vous êtes sûr que tous vos services sont listés.

Étape 2 : activer DKIM

DKIM ajoute une signature numérique à chaque email. C'est votre service d'envoi qui génère la clé ; vous n'avez qu'à publier la partie publique dans votre DNS. Les intitulés des menus peuvent varier légèrement selon la langue de votre console.

Google Workspace : console d'administration, puis Applications, Google Workspace, Gmail, Authentifier les e-mails. Générez la clé, publiez l'enregistrement TXT google._domainkey indiqué, puis cliquez sur Démarrer l'authentification.
Microsoft 365 : portail Microsoft Defender, page des paramètres d'authentification des e-mails, onglet DKIM. Publiez les deux enregistrements CNAME selector1 et selector2 indiqués, puis activez la signature pour votre domaine.
Outil de newsletter, CRM, facturation : cherchez « authentification du domaine » ou « DKIM » dans leurs paramètres. La plupart fournissent un ou deux enregistrements à copier.

Étape 3 : publier DMARC en mode surveillance

DMARC se publie sur un sous-domaine dédié, _dmarc :

Type   : TXT
Nom    : _dmarc
Valeur : v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr

v=DMARC1 : la version, toujours en premier.
p=none : la politique. En mode none, rien n'est bloqué : les messageries vous envoient seulement des rapports.
rua=mailto:... : l'adresse qui reçoit les rapports quotidiens.

Si l'adresse de rapport est sur un autre domaine que le vôtre, ce domaine doit accepter de recevoir vos rapports. Les services d'analyse DMARC gèrent ce point pour vous.

Étape 4 : lire les rapports pendant deux à quatre semaines

Gmail, Outlook, Yahoo et les autres grandes messageries vous envoient chaque jour un rapport au format XML : qui a envoyé des emails avec votre domaine, depuis quels serveurs, et si SPF et DKIM sont passés. Ces fichiers sont difficiles à lire tels quels ; un service d'analyse de rapports DMARC, souvent gratuit pour les petits volumes, les transforme en tableau.

Ce que vous cherchez :

Chacun de vos services légitimes doit apparaître avec SPF ou DKIM « aligné », c'est-à-dire validé pour votre propre domaine, et pas seulement pour celui du prestataire.
Un service légitime en échec : il manque dans SPF, ou son DKIM n'est pas activé. Corrigez avant d'aller plus loin.
Des sources inconnues en échec : ce sont souvent des tentatives d'usurpation. C'est exactement ce que DMARC va bloquer.

Étape 5 : durcir la politique, palier par palier

Quand tous vos services légitimes passent, montez la politique :

p=quarantine : les emails en échec partent en spam. Vous pouvez d'abord ne l'appliquer qu'à une partie du trafic avec pct=25, puis augmenter.
Observez les rapports une à deux semaines de plus.
p=reject : les emails en échec sont refusés. Votre domaine est alors réellement protégé.

Pensez aussi aux sous-domaines : par défaut, ils suivent la politique principale, et la mention sp= permet de leur en donner une différente.

Les erreurs les plus fréquentes

Deux enregistrements SPF sur le même domaine : SPF devient invalide.
Un service d'envoi oublié, découvert le jour où ses emails sont bloqués : d'où l'importance de l'étape 4.
Rester en p=none pour toujours : vous observez, mais vous ne protégez rien.
Une adresse de rapport qui n'existe pas ou qui déborde : les rapports peuvent être nombreux, prévoyez une boîte dédiée.
Un domaine qui n'envoie aucun email laissé sans protection : publiez v=spf1 -all et une politique DMARC p=reject pour qu'il ne puisse servir d'expéditeur à personne.

Vérifier votre configuration

Une fois les enregistrements publiés, vérifiez que tout est en place : CyberGuard teste SPF, DKIM et DMARC en 2 minutes et vous indique le niveau de votre politique DMARC. Relancez le test à chaque palier pour confirmer que la nouvelle politique est bien publiée.