Réponse courte
SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine, DKIM ajoute une signature qui rend toute altération détectable, et DMARC relie les deux à l'adresse d'expéditeur affichée et indique aux destinataires quoi faire en cas d'échec. DMARC est validé quand SPF ou DKIM réussit en alignement avec le domaine de l'expéditeur. Gmail, Yahoo et Outlook.com attendent les trois des gros expéditeurs.
Que vérifie chaque norme ?
| Norme | Vérifie | Se trouve dans | Échoue quand |
|---|---|---|---|
| SPF (RFC 7208) | Le serveur d'envoi figure sur votre liste autorisée | Enregistrement TXT sur votre domaine | Un expéditeur manque, ou plus de 10 requêtes DNS |
| DKIM (RFC 6376) | La signature correspond à une clé publique | TXT à selector._domainkey | Message modifié, mauvaise clé ou absence de signature pour votre domaine |
| DMARC | SPF ou DKIM a réussi pour un domaine aligné avec From | TXT à _dmarc | Aucun des deux ne réussit en alignement |
Comment les déployer ?
- Publiez un seul enregistrement SPF couvrant chaque service qui envoie avec votre domaine.
- Configurez DKIM chez chaque fournisseur, avec l'authentification de domaine personnalisé pour que la signature utilise votre domaine.
- Publiez DMARC avec p=none et une adresse rua pour recevoir les rapports.
- Corrigez les échecs signalés dans les rapports, puis passez à p=quarantine et p=reject.
Que exigent les fournisseurs de messagerie ?
- Google : SPF ou DKIM pour tous les expéditeurs ; SPF, DKIM et DMARC pour les gros expéditeurs de plus de 5 000 messages par jour vers Gmail.
- Yahoo : authentification pour tous les expéditeurs, plus DMARC et désabonnement en un clic pour les gros expéditeurs.
- Microsoft : SPF et DKIM doivent réussir et DMARC au moins en p=none pour les domaines dépassant 5 000 e-mails par jour.
- La référence DMARC actuelle est la RFC 9989, qui remplace la RFC 7489.