SPF, DKIM et DMARC : pourquoi vos e-mails finissent en spam

En bref

SPF, DKIM et DMARC sont trois lignes dans le DNS de votre domaine : elles indiquent qui peut envoyer des e-mails en votre nom et quoi faire de ceux qui ne sont pas autorisés.
Depuis 2024, Gmail et Yahoo exigent SPF ou DKIM de tous les expéditeurs, même de ceux qui envoient peu d’e-mails, et SPF, DKIM et DMARC de ceux qui dépassent 5 000 envois par jour. Microsoft applique des règles similaires sur Outlook.com depuis mai 2025. Ceux qui ne sont pas en règle finissent en spam ou sont rejetés.
Sans politique DMARC appliquée, n’importe qui peut envoyer une facture avec un faux IBAN en utilisant votre adresse exacte.
La vérification prend 5 minutes avec des outils gratuits, et la mise en sécurité se fait par étapes, sans bloquer les e-mails légitimes.

⏱ Temps de lecture : 6 minutes

Imaginons la scène. Un matin, le dirigeant d’une entreprise à plusieurs sites reçoit l’appel d’un client de longue date : « J’ai payé votre facture sur le nouvel IBAN, mais la banque dit que le compte n’est pas le vôtre. » L’e-mail semblait parfait. Logo, signature, bon numéro de facture. Et l’expéditeur était leur propre adresse, pas une adresse ressemblante.

Dans les projets que nous suivons, c’est souvent ainsi : le sujet apparaît quand quelqu’un a déjà perdu de l’argent. Ou quand l’équipe commerciale s’aperçoit que ses offres arrivent depuis des semaines dans les spams des clients.

Dans les deux cas, la cause est presque toujours la même : trois enregistrements DNS absents, erronés ou configurés à moitié. Voyons ce qu’ils sont, sans jargon.

Pourquoi les e-mails sont usurpés (et pourquoi ça marche)

La messagerie électronique est née sans contrôle de l’expéditeur. Écrire « comptabilite@votreentreprise.fr » dans le champ De est aussi facile que d’écrire une fausse adresse au dos d’une enveloppe.

Les escroqueries au faux fournisseur et au faux IBAN, que les spécialistes appellent BEC (Business Email Compromise), en vivent aussi. Selon le FBI, en 2025 les escroqueries BEC ont causé plus de 3 milliards de dollars de pertes déclarées aux États-Unis, sur 24 768 plaintes (IC3, Internet Crime Report 2025).

En Italie, la situation n’est pas plus sereine. Le Rapport Clusit 2026 indique que l’Italie a subi 9,6 % des incidents graves recensés dans le monde en 2025, et que le phishing et l’ingénierie sociale sont à l’origine de 12,4 % des cas italiens, en hausse de 66 % (synthèse du Rapport Clusit 2026).

Les trois enregistrements expliqués comme un accueil

Imaginez l’accueil de vos locaux.

SPF est la liste des coursiers autorisés à retirer et envoyer le courrier en votre nom. Il indique quels serveurs peuvent envoyer des e-mails avec votre domaine : votre fournisseur de messagerie, votre plateforme de newsletters, votre CRM.
DKIM est le tampon signé sur l’enveloppe. Chaque e-mail part avec une signature numérique que le destinataire vérifie grâce à une clé publiée dans votre DNS. Si quelqu’un modifie le message, la signature ne correspond plus.
DMARC, ce sont les consignes laissées à l’accueil : quoi faire de celui qui se présente en votre nom sans être sur la liste ou sans tampon. Le laisser passer (p=none), le mettre en salle d’attente, c’est-à-dire en spam (p=quarantine), ou le refuser (p=reject). En plus, l’accueil vous envoie un compte rendu de qui s’est présenté.

SPF et DKIM seuls ne suffisent pas : sans DMARC, le destinataire ne sait pas ce que vous attendez de lui.

Ce qu’exigent désormais Google, Yahoo et Microsoft

Depuis le 1er février 2024, Gmail exige de tous les expéditeurs au moins SPF ou DKIM. À ceux qui envoient plus de 5 000 messages par jour, il demande SPF et DKIM ensemble, un enregistrement DMARC (même en p=none), l’alignement entre le domaine de l’expéditeur et l’authentification, la désinscription en un clic et un taux de signalements de spam inférieur à 0,3 % (Google, consignes pour les expéditeurs). Yahoo a introduit des exigences similaires le même mois (Yahoo Sender Hub).

Depuis le 5 mai 2025, Microsoft applique des règles similaires sur Outlook.com, Hotmail et Live aux expéditeurs qui dépassent 5 000 envois : les messages non conformes sont rejetés avec l’erreur 550 5.7.515 (Support Microsoft).

Une newsletter envoyée à quelques milliers de contacts, ajoutée aux factures et relances automatiques, s’approche vite du seuil des 5 000 envois, au-delà duquel les trois enregistrements sont nécessaires. Mais SPF ou DKIM sont exigés de tous, quels que soient les volumes. Même si vous envoyez 10 e-mails par jour, sans SPF ni DKIM ils risquent de finir dans les spams du destinataire.

Comment vérifier votre domaine en 5 minutes

Envoyez un e-mail à une adresse Gmail et ouvrez-le : menu aux trois points, « Afficher l’original ». En haut, vous trouvez SPF, DKIM et DMARC avec leur résultat, PASS ou FAIL.
Saisissez votre domaine dans un outil gratuit comme MXToolbox, Google Admin Toolbox ou Internet.nl. Ils vous disent si les enregistrements existent et s’ils contiennent des erreurs évidentes.
Regardez la ligne DMARC. Si elle est absente, ou en p=none depuis des années, votre adresse peut être usurpée.

Refaites le test avec un e-mail envoyé depuis votre newsletter, votre CRM et votre logiciel de facturation. C’est généralement là que la surprise apparaît.

Les erreurs que nous voyons le plus souvent

Deux enregistrements SPF sur le même domaine. Un seul est autorisé : avec deux, la vérification échoue.
Trop de services dans le SPF. La norme prévoit au maximum 10 requêtes DNS pour la vérification (RFC 7208). Chaque service ajouté en consomme une ou plusieurs, et au-delà de la limite le SPF tombe en erreur.
DMARC bloqué en p=none depuis des années. Il sert à observer, il ne protège pas. Sur 1,8 million de domaines analysés début 2026, 52,1 % avaient un DMARC valide mais seulement 22,9 % l’appliquaient vraiment en quarantine ou reject (EasyDMARC, 2026).
Services tiers oubliés. Newsletter, CRM, logiciel de facturation, imprimantes multifonctions qui envoient les numérisations : chacun envoie en votre nom et doit être autorisé.
Domaine non aligné. SPF et DKIM sont valides, mais liés au domaine du fournisseur de newsletters au lieu du vôtre. Sans alignement avec votre domaine, DMARC échoue.
Personne ne lit les rapports. Ils arrivent en XML et restent dans une boîte que personne n’ouvre.

Le parcours progressif : de p=none à reject

Passer directement à reject est le moyen le plus rapide de bloquer vos propres factures. Voici le parcours que nous suivons :

État des lieux, 2 à 4 semaines. DMARC en p=none avec une adresse pour les rapports. On découvre qui envoie vraiment au nom du domaine.
Mise en ordre. Chaque service légitime est autorisé dans le SPF et, si possible, signé avec DKIM. Ceux qui ne servent plus sont retirés.
Quarantaine. p=quarantine, en contrôlant les rapports chaque semaine et en corrigeant ce qui apparaît.
Reject. Quand les rapports sont propres, p=reject. À partir de là, quiconque usurpe votre domaine exact est refusé.
Maintenance. Chaque nouvel outil qui envoie des e-mails est vérifié avant sa mise en service.

Il faut généralement de deux à quatre mois, selon le nombre de services qui envoient en votre nom.

Une précision honnête : DMARC protège votre domaine exact, pas les domaines ressemblants (comme votreentreprise-fr.com), ni une boîte piratée avec un mot de passe volé. C’est pourquoi il faut aussi une règle interne simple : tout changement d’IBAN se confirme par téléphone, à un numéro déjà connu, jamais à celui indiqué dans l’e-mail.

Pourquoi nous pensons que « ça ne nous arrivera pas »

En 1980, le psychologue Neil Weinstein a décrit le biais d’optimisme : nous avons tendance à estimer nos propres risques plus faibles que ceux des autres (Weinstein, 1980). En entreprise, cela devient « nous sommes petits, qui voudrait nous viser ».

Mais ceux qui usurpent les e-mails ne choisissent pas selon la taille. Ils testent automatiquement des milliers de domaines et s’arrêtent sur ceux qui ne sont pas protégés. Le risque ne dépend pas de votre taille, mais de votre facilité d’accès.

Notre façon de travailler

Nous commençons par contrôler le domaine et dresser la liste des services qui envoient en votre nom. Ensuite, nous configurons les enregistrements par étapes, lisons les rapports avec vous et arrivons à p=reject sans bloquer les e-mails dont vous avez besoin. Si vous souhaitez commencer par une vérification, il y a notre check-up gratuit.

Questions fréquentes

Faut-il vraiment les trois enregistrements ?

Oui. SPF et DKIM disent qui vous êtes, DMARC dit quoi faire de celui qui se fait passer pour vous. L’un sans les autres laisse le domaine exposé.

Si je passe en p=reject, est-ce que je risque de perdre des e-mails importants ?

Seulement si vous y arrivez sans phase d’observation. Avec les rapports et un passage progressif, le risque est réduit au minimum.

Est-ce que cela s’applique même si nous envoyons peu d’e-mails ?

Oui. Gmail et Yahoo exigent SPF ou DKIM de tous les expéditeurs, même de ceux qui envoient peu d’e-mails ; SPF, DKIM et DMARC ensemble sont nécessaires à ceux qui dépassent 5 000 envois par jour. En outre, l’usurpation de domaine peut toucher n’importe qui : la protection est utile quels que soient les volumes.

DMARC bloque-t-il aussi les domaines qui imitent le mien ?

Non, il protège seulement le domaine exact. Pour les domaines ressemblants, il faut de la vigilance, la formation du personnel et des procédures de vérification des paiements.