Les attaques par e-mail se sont sophistiquées ces dernières années et ciblent désormais les organisations. Les escrocs utilisent le phishing pour voler des identifiants, informations bancaires, et prendre le contrôle de comptes sensibles.
Pour limiter l’usurpation d’identité d’un domaine, trois protocoles sont devenus indispensables pour les expéditeurs et les administrateurs. Retenez l’essentiel qui suit pour passer rapidement à la rubrique A retenir :
A retenir :
- Enregistrement SPF unique par domaine pour l’authentification
- Clés DKIM publiques publiées dans la zone DNS du domaine
- Politique DMARC progressive avec rapports envoyés vers boîte dédiée
- Surveillance régulière des rapports DMARC pour corriger les erreurs
Après les points essentiels : configurer SPF pour votre domaine
Principes et limites du SPF pour l’envoi d’e-mails
Cette section explique pourquoi SPF reste la première barrière contre le spoofing. SPF lie les adresses IP autorisées au nom de domaine pour aider les serveurs destinataires à vérifier l’expéditeur.
SPF présente toutefois des limites notamment lors des transferts d’e-mails, car l’adresse IP d’un relais peut ne pas correspondre à l’enregistrement. Selon Mailjet, il faut gérer soigneusement l’inclusion de relais et d’exceptions dans l’enregistrement SPF.
Les hébergeurs comme OVH, Gandi ou OVHcloud proposent des interfaces DNS pour ajouter l’enregistrement TXT requis. Ce point prépare l’étape suivante sur la mise en œuvre pratique chez des fournisseurs spécifiques.
Déploiement pratique chez OVH et Gandi
Ce passage détaille les opérations courantes dans la zone DNS des fournisseurs français. Pour OVH et Gandi, la création d’un enregistrement TXT nommé du domaine permet d’indiquer les hôtes autorisés à envoyer des e-mails.
Un enregistrement SPF type ressemble à « v=spf1 include:mx.provider.com ~all » et doit rester unique par domaine. Selon Google et selon Yahoo, les grands webmails exigent désormais SPF et DKIM pour les envois importants.
Il faut prendre soin d’inclure les services tiers comme Mailjet ou MailInBlack dans l’enregistrement. Cette bonne pratique facilite le passage vers la signature DKIM pour garantir l’intégrité des messages.
Bonnes pratiques SPF :
- Vérifier l’absence de doublons SPF dans la zone DNS
- Inclure uniquement les relais nécessaires pour l’envoi
- Tester le rendu avec un outil tel que MXToolBox
- Mettre à jour l’enregistrement lors d’un nouveau fournisseur d’envoi
Élément
Rôle
Conséquence
Enregistrement SPF
Déclare les IP ou domaines autorisés
Autorisation ou échec de l’authentification
Include
Permet aux services tiers d’envoyer
Facilite l’intégration de Mailjet, OVHcloud
~all ou -all
Politique de tolérance ou stricte
Impact sur délivrabilité et rejet possible
Transfert d’e-mail
Risque de rupture de vérification SPF
Nécessite DMARC pour définir l’action
« J’ai ajouté l’enregistrement SPF sur mon domaine OVH, et les rebonds ont fortement diminué. »
Alice B.
En comprenant SPF, passez au DKIM : signer vos envois
Pourquoi DKIM protège l’intégrité du message
DKIM appose une signature cryptographique à chaque message sortant pour vérifier son intégrité. Cette signature permet de prouver que le contenu n’a pas été altéré entre l’expéditeur et le destinataire.
La clé publique DKIM est publiée dans la zone DNS et correspond à la clé privée utilisée pour signer les messages. Selon Mailjet, DKIM réduit significativement la probabilité d’altérations détectées par les FAI et clients mail.
Le passage au DKIM complète SPF et rend plus cohérente la politique DMARC qui appliquera une action en cas d’échec. Cette cohérence simplifie ensuite la définition des rapports DMARC pour l’analyse.
Génération et ajout de clés DKIM chez Orange Business et Infomaniak
Plusieurs fournisseurs proposent des outils pour générer la paire de clés DKIM et publier la clé publique en TXT. Chez Orange Business et Infomaniak, la zone DNS permet d’ajouter facilement la valeur fournie par l’émetteur.
Il est recommandé d’attendre la propagation DNS avant de valider la signature, et de tester la clé avec un outil DKIM gratuit. Selon Mailjet, l’attente peut atteindre quelques dizaines d’heures sur certaines consoles d’administration.
Étapes configuration DKIM :
- Générer la paire de clés via le serveur d’envoi
- Publier la clé publique dans la zone DNS du domaine
- Vérifier la signature avec un outil de test
- Renouveler les clés selon la politique interne
Fournisseur
Méthode
Remarque
Orange Business
Publication TXT dans zone DNS
Interface d’administration pour zones DNS
Infomaniak
Publication TXT avec sélecteur
Permet plusieurs enregistrements DKIM
Mailjet
Fournit la clé publique à publier
Utilisé pour signer via Mailjet
Laposte.net
Gestion DNS et tests recommandés
Vérifier la propagation avant validation
« J’ai signé mes envois via Mailjet, la réputation de domaine s’est améliorée rapidement. »
Marc L.
Après DKIM, implémentez DMARC : politiques et rapports
Choisir la politique DMARC adaptée à votre domaine
DMARC indique aux serveurs destinataires comment traiter les messages non conformes en se basant sur SPF et DKIM. Les options vont de « none » pour surveiller à « reject » pour bloquer les messages non alignés.
Commencez en mode « none » pour collecter des rapports et identifier les émetteurs légitimes ou frauduleux. Selon Mailjet, passer progressivement de « none » à « quarantine » puis « reject » permet de réduire les faux positifs.
La gestion des rapports DMARC aide à détecter les tentatives de spoofing et à ajuster les enregistrements SPF et DKIM en conséquence. Ce travail prépare l’intégration avec des solutions comme MailInBlack.
Paramètres recommandés DMARC :
- p=none pour surveillance initiale et collecte de rapports
- p=quarantine pour marquer les envois non conformes
- p=reject pour rejeter les messages clairement frauduleux
- RUA et RUF définis vers une boîte dédiée pour analyse
Exemples pratiques avec Mailjet et MailInBlack
Plusieurs plateformes simplifient l’implémentation DMARC en proposant des guides et des rapports agrégés. Mailjet fournit une documentation pour configurer SPF et DKIM, et conseille de contacter le support pour DMARC.
Des outils comme MXToolBox ou les générateurs de DKIM aident pour les tests et la création de clés. Selon Mailjet, l’accompagnement par le support permet de corriger des erreurs liées à la zone DNS plus rapidement.
- Vérifier les rapports DMARC quotidiennement ou hebdomadairement
- Inclure les services d’envoi utilisés dans l’enregistrement SPF
- Gérer les sélecteurs DKIM pour plusieurs clés actives
- Consulter support hébergeur pour formats et guillemets
« L’analyse des rapports DMARC a révélé plusieurs relais oubliés et permis de corriger rapidement. »
Claire P.
« Avis : la progression prudente des politiques DMARC a protégé notre réputation tout en maintenant la livraison. »
Henri N.
Source : Julie Paci, « Paramétrer SPF, DKIM et DMARC : guide anti-spam pour votre domaine », Mailjet, 21 mars 2019. Mise à jour mentionnée le 12 février 2024.
