Définition
SPF, DKIM et DMARC sont les trois normes d'authentification des e-mails reposant sur le DNS. SPF liste les serveurs autorisés à envoyer pour un domaine, DKIM signe les messages de manière cryptographique, et DMARC indique aux destinataires que faire des messages qui échouent à ces contrôles tout en renvoyant des rapports.
SPF (Sender Policy Framework, RFC 7208) est un enregistrement DNS TXT qui liste les adresses IP et les services autorisés à envoyer des e-mails avec le domaine de l'expéditeur d'enveloppe. Les serveurs destinataires vérifient le serveur qui se connecte par rapport à cette liste. SPF autorise au maximum 10 requêtes DNS, une limite souvent dépassée lorsque de nombreux prestataires sont ajoutés.
DKIM (DomainKeys Identified Mail, RFC 6376) ajoute une signature numérique aux en-têtes de chaque message. Le destinataire la vérifie avec une clé publique publiée dans le DNS sous un sélecteur. Gmail exige des clés d'au moins 1 024 bits et recommande 2 048 bits.
DMARC s'appuie sur les deux. Un domaine publie une politique (p=none, quarantine ou reject) et des adresses de rapport. Un message réussit le contrôle DMARC lorsque SPF ou DKIM est validé pour un domaine aligné sur le domaine From visible. DMARC était à l'origine défini par la RFC 7489, remplacée en mai 2026 par une nouvelle spécification sur la voie des normes, la RFC 9989.
Gmail exige SPF, DKIM et DMARC pour les expéditeurs en masse. Déployez DMARC en commençant par p=none, analysez les rapports pour identifier chaque expéditeur légitime (CRM, service d'assistance, plateforme de messagerie), corrigez leurs configurations SPF et DKIM, puis passez à quarantine et enfin à reject.
Exemple
_dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"