Vérifiez SPF, DKIM et DMARC de votre domaine

SPF, DKIM, DMARC : à quoi ça sert

SPF

La liste des serveurs autorisés à envoyer des emails au nom de votre domaine. C'est un enregistrement DNS de type TXT qui commence par v=spf1.

DKIM

Une signature numérique ajoutée à chaque email, qui prouve qu'il vient bien de vous et n'a pas été modifié en route. La clé publique est publiée dans le DNS, sous un « sélecteur » (par exemple google._domainkey.votre-domaine.fr).

DMARC

La règle qui dit aux messageries quoi faire d'un email qui échoue aux contrôles SPF et DKIM : le laisser passer (p=none), le mettre en spam (p=quarantine) ou le rejeter (p=reject). Elle est publiée sur _dmarc.votre-domaine.fr.

Depuis février 2024, Gmail et Yahoo demandent au minimum SPF ou DKIM à tous les expéditeurs, et les trois protections à ceux qui envoient en masse. Un domaine mal configuré voit aussi ses emails légitimes finir plus souvent en spam.

Ce que CyberGuard vérifie

• SPF : présence de l'enregistrement et politique finale (-all strict, ~all souple, ou absente).
• DMARC : présence sur _dmarc et niveau de la politique (none, quarantine ou reject).
• DKIM : recherche d'une clé sur les sélecteurs les plus courants, dont ceux de Google Workspace et Microsoft 365 (default, google, mail, dkim, k1, selector1, selector2).
• MX : présence des serveurs qui reçoivent vos emails.

Si votre prestataire utilise un sélecteur DKIM personnalisé, il peut ne pas être trouvé : le rapport l'indique alors comme « non détecté » plutôt que comme absent.

Exemple de résultat

exemple-pme.fr (domaine fictif)

• Critique : DMARC manquant — emails frauduleux non bloqués
• À améliorer : SPF configuré en mode souple (~all) — préférez -all
• OK : DKIM configuré (sélecteur : google)
• OK : Serveurs MX configurés : aspmx.l.google.com

Chaque point pèse sur votre score de sécurité sur 100. Dès le plan Pro, le rapport IA vous donne le guide de correction adapté à votre domaine, à transmettre tel quel à votre prestataire.

Comment corriger, dans l'ordre

1. Recensez tout ce qui envoie des emails pour vous

   Messagerie, outil de newsletter, CRM, logiciel de facturation, site web. Chacun doit apparaître dans un seul et unique enregistrement SPF : deux enregistrements v=spf1 sur le même domaine rendent SPF invalide. SPF est aussi limité à 10 consultations DNS, d'où l'intérêt de ne garder que les services réellement utilisés.

2. Activez DKIM chez votre messagerie

   Dans la console d'administration de Google Workspace ou de Microsoft 365, activez la signature DKIM et publiez dans votre DNS la clé qu'elle vous fournit. Faites de même pour votre outil de newsletter s'il le propose.

3. Publiez DMARC en mode surveillance, puis durcissez

   Commencez par v=DMARC1; p=none avec une adresse rua=mailto:... pour recevoir les rapports. Quand ils montrent que vos envois légitimes passent, montez à p=quarantine, puis à p=reject.

Passer directement à p=reject sans cette étape de surveillance peut bloquer vos propres emails, comme vos newsletters ou vos factures envoyées par un logiciel tiers.

Questions fréquentes

Mon domaine n'envoie pas d'emails. Suis-je concerné ?

Oui. Un domaine sans SPF ni DMARC est encore plus facile à usurper. Pour un domaine qui n'envoie rien, publiez v=spf1 -all et une politique DMARC p=reject : toute tentative d'envoi en son nom sera refusée.

Le test modifie-t-il quelque chose sur mon domaine ?

Non. CyberGuard lit uniquement les enregistrements DNS publics, comme le fait n'importe quel serveur de messagerie qui reçoit un de vos emails. Rien n'est envoyé ni modifié.

Combien de temps une correction met-elle à être prise en compte ?

Les modifications DNS se propagent en général en quelques minutes à quelques heures, selon la durée de vie (TTL) configurée chez votre hébergeur DNS. Vous pouvez relancer un audit ensuite pour vérifier.

Quel plan faut-il pour cette analyse ?

L'analyse SPF, DKIM, DMARC et MX est incluse dès le plan Starter à 29 €/mois. Le rapport IA et le guide de correction détaillé sont inclus à partir du plan Pro à 79 €/mois.