Si votre courrier finit dans les indésirables, ou n’arrive tout simplement pas, le problème n’est probablement pas le contenu : ce sont trois enregistrements DNS manquants. Gmail, Outlook et les autres grands fournisseurs ont considérablement durci leurs filtres, et aujourd’hui un domaine sans SPF, DKIM et DMARC entre dans la catégorie suspect par défaut.
La bonne nouvelle, c’est que ce sont trois enregistrements texte, configurés une fois et valables pour toujours.
SPF : qui peut envoyer en votre nom
SPF est une liste de serveurs autorisés à envoyer du courrier avec votre domaine. Quand un serveur reçoit un message prétendant venir de votre entreprise, il consulte votre SPF et vérifie si l’adresse d’origine figure sur la liste.
C’est un simple enregistrement TXT. Ce qui casse d’ordinaire, ce sont les oublis : l’outil de facturation qui envoie les factures, la plateforme d’infolettres, le formulaire du site, le CRM. Tout ce qui envoie du courrier avec votre domaine doit y figurer, sinon ces messages échoueront à la vérification.
Et un avertissement important : un seul enregistrement SPF peut exister par domaine. Deux enregistrements SPF ne s’additionnent pas, ils invalident la vérification. Quand vous ajoutez un service, vous étendez l’enregistrement existant, vous n’en créez pas un second.
DKIM : la signature qui prouve l’intégrité
DKIM ajoute une signature cryptographique à chaque message sortant. Le destinataire consulte votre clé publique dans le DNS et vérifie la signature. Si elle correspond, il sait deux choses : le message vient bien d’un serveur autorisé, et personne ne l’a modifié en route.
DKIM a un avantage pratique sur SPF : il survit aux transferts. Quand quelqu’un transfère votre courrier, l’adresse d’origine change et SPF échoue, mais la signature DKIM reste valide. C’est pourquoi il faut les deux, pas un seul.
DMARC : la politique et, surtout, les rapports
DMARC indique au destinataire quoi faire quand SPF et DKIM échouent : rien, quarantaine ou rejet. Mais sa fonction la plus précieuse est ailleurs : les rapports.
Avec DMARC configuré, vous recevez des rapports périodiques sur qui envoie du courrier avec votre domaine. C’est là que vous découvrez les services légitimes oubliés, et aussi si quelqu’un usurpe votre marque. Sans ces rapports, vous êtes aveugle.
Le bon ordre de déploiement
C’est là que le plus de monde se trompe. Démarrer directement avec une politique de rejet bloque votre propre courrier légitime, et vous l’apprenez quand un client vous dit n’avoir jamais reçu le devis.
La séquence sûre est :
- Publiez SPF et DKIM et vérifiez qu’ils fonctionnent en vous écrivant sur un compte externe.
- DMARC en mode none pendant deux ou trois semaines. Cela ne bloque rien, cela collecte seulement des rapports.
- Lisez les rapports et ajoutez les services légitimes qui apparaissent et n’étaient pas couverts.
- Passez à quarantine, observez deux semaines de plus.
- Et seulement ensuite, reject.
Ce chemin prend un mois et ne casse rien. Le raccourci prend un jour et casse votre messagerie.
Une note sur les sous-domaines
Si vous ne publiez pas de SPF pour un sous-domaine, un attaquant peut tenter de l’usurper. Publiez des enregistrements restrictifs pour les sous-domaines qui n’envoient pas de courrier, et utilisez la politique de sous-domaine de DMARC pour couvrir le reste.
Comment nous le traitons
Dans notre DNS géré, le panneau vous permet de publier et modifier ces trois enregistrements sans vous battre avec la syntaxe, et comme il tourne sur un réseau anycast mondial, les requêtes sont résolues rapidement depuis partout, ce qui compte quand un serveur destinataire décide si votre courrier passe. Si vous venez d’un autre prestataire et ne savez pas où vous en êtes, nous le vérifions pour vous.