Vos e-mails arrivent en spam ? Vérifiez SPF, DKIM et DMARC

Un devis qui n'arrive jamais, une facture classée en spam, un client qui ne reçoit pas votre réponse : très souvent, le problème ne vient pas du message, mais de trois réglages du nom de domaine, appelés SPF, DKIM et DMARC.

Depuis 2024, Gmail et Yahoo demandent à tous les expéditeurs d'authentifier leurs e-mails, et imposent les trois mécanismes à ceux qui envoient en grand nombre. Microsoft a fixé des règles comparables pour Outlook.com en 2025. Un domaine mal configuré voit donc ses messages filtrés de plus en plus souvent.

Ce que fait chacun des trois

SPF : qui a le droit d'envoyer

Le SPF est une liste, publiée dans le DNS de votre domaine, des serveurs autorisés à envoyer des e-mails en votre nom : votre messagerie, mais aussi votre site, votre logiciel de facturation ou votre outil d'e-mailing.

DKIM : une signature sur chaque message

Le DKIM ajoute à chaque e-mail une signature électronique. La clé qui permet de la vérifier est publiée dans votre DNS. Si le message a été modifié en route, ou s'il ne vient pas de chez vous, la signature ne correspond pas.

DMARC : la consigne en cas d'échec

Le DMARC indique aux messageries ce qu'elles doivent faire d'un e-mail qui échoue aux contrôles : le laisser passer, le mettre en spam ou le refuser. Il permet aussi de recevoir des rapports sur les messages envoyés en votre nom.

À quoi ça ressemble

Trois enregistrements de type TXT dans la zone DNS, par exemple pour un domaine dont la messagerie est chez Google et dont le site envoie aussi des e-mails :

votre-domaine.fr.                  TXT  "v=spf1 include:_spf.google.com ip4:203.0.113.10 ~all"
google._domainkey.votre-domaine.fr. TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq…"
_dmarc.votre-domaine.fr.           TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"

Les erreurs qu'on rencontre le plus souvent

1. Deux enregistrements SPF. Un domaine ne doit en avoir qu'un. Quand un prestataire en ajoute un second, les deux deviennent invalides. Il faut les fusionner.
2. Un expéditeur oublié. Le formulaire du site, l'ERP ou le logiciel de facturation envoient des e-mails au nom du domaine, mais ne figurent pas dans le SPF.
3. Un DKIM jamais activé. Chez Google Workspace, par exemple, la clé doit être générée dans la console d'administration, publiée dans le DNS, puis activée. Tant que ce n'est pas fait, aucun message n'est signé.
4. Des restes de l'ancien hébergeur. Après un changement de messagerie, il reste souvent des enregistrements qui pointent vers l'ancien prestataire, par exemple pour la configuration automatique d'Outlook.
5. Un DMARC trop strict, trop tôt. Passer directement à une politique de rejet, sans avoir vérifié que tous vos outils sont bien authentifiés, peut bloquer vos propres e-mails.

Comment vérifier votre domaine

• Le plus simple : envoyez-vous un e-mail sur une adresse Gmail, ouvrez-le, puis choisissez « Afficher l'original ». Gmail indique si SPF, DKIM et DMARC sont validés.
• Dans le DNS : la commande nslookup -type=TXT votre-domaine.fr affiche votre SPF, et nslookup -type=TXT _dmarc.votre-domaine.fr votre DMARC.
• Dans la durée : les rapports DMARC montrent quels serveurs envoient en votre nom, y compris ceux que vous aviez oubliés.

Par où commencer

Dans l'ordre : un SPF unique qui liste tous vos expéditeurs, un DKIM activé sur votre messagerie, puis un DMARC en simple surveillance (p=none). Après quelques semaines de rapports sans mauvaise surprise, on peut durcir la politique.

C'est un réglage qu'on vérifie systématiquement quand on prend en charge un domaine : la plupart du temps, une heure suffit à remettre les choses en ordre.