SPF, DKIM, DMARC en TPE/PME : déployer sans bloquer les emails

Votre domaine peut être utilisé par la messagerie principale, mais aussi par un CRM, un outil de facturation, une newsletter, un formulaire de site ou un support externalisé. SPF, DKIM et DMARC apportent aux destinataires des informations techniques pour contrôler la légitimité des courriels envoyés au nom du domaine (ANSSI 19/06/2020). Ils ne protègent pas, à eux seuls, contre certaines attaques comme le typosquattage d’un domaine proche ou un contenu piégé (ANSSI 19/06/2020).

Le risque opérationnel apparaît lorsque l’entreprise durcit sa politique avant d’avoir recensé tous ses expéditeurs légitimes : une politique DMARC stricte accroît le risque que des courriels authentiques soient rejetés (Afnic 20/03/2023). Le serveur destinataire peut par ailleurs rejeter, signaler comme suspects ou accepter les messages provenant d’adresses IP non autorisées selon sa propre stratégie (Afnic 02/06/2022). La proposition de méthode ci-dessous consiste donc à inventorier, observer, corriger puis renforcer.

Comprendre le rôle de SPF, DKIM et DMARC

SPF : déclarer les serveurs autorisés

SPF permet au titulaire d’un domaine de publier dans le DNS les serveurs autorisés à envoyer des courriels pour ce domaine (Afnic 02/06/2022). Proposition pratique : considérez chaque outil qui envoie un message en votre nom comme un candidat à vérifier, même s’il n’est pas présenté comme un outil de messagerie.

DKIM : vérifier une signature du message

DKIM ajoute une signature au courriel ; le serveur destinataire peut la vérifier grâce à une clé publique placée dans le DNS (Afnic 02/06/2022). Cette vérification sert aussi à contrôler que le message n’a pas été altéré pendant son transport (Afnic 02/06/2022).

DMARC : contrôler l’alignement et annoncer une politique

DMARC complète SPF et DKIM en vérifiant notamment l’alignement avec le domaine visible dans le champ « De » ; un message peut réussir si SPF ou DKIM est valide et aligné, sans exiger que les deux réussissent simultanément (Afnic 02/06/2022). La politique DMARC indique le traitement souhaité en cas d’échec avec p=none, p=quarantine ou p=reject, et peut désigner des adresses de réception des rapports (ANSSI 19/06/2020).

Étape 1 : recenser tous les expéditeurs avant de toucher au DNS

Proposition pratique : ouvrez un tableau par domaine et sous-domaine. Pour chaque flux, notez le service, le propriétaire interne, l’adresse visible dans « De », le domaine technique de retour, la présence de DKIM, la documentation du prestataire et un message de test. Cette fiche n’est pas une garantie d’exhaustivité : faites-la relire par la direction, la vente, la comptabilité, le marketing et le support.

Proposition pratique : cherchez au minimum dans les familles suivantes :

• messagerie des salariés et boîtes partagées ;
• CRM, prospection et newsletters ;
• devis, factures, relances et signatures électroniques ;
• site web, formulaires, boutique et notifications ;
• support, recrutement, réservations et outils métiers ;
• prestataires qui envoient au nom de l’entreprise.

Proposition pratique : rapprochez cet inventaire de votre guide cybersécurité TPE/PME et de votre cartographie du CRM. L’objectif proposé est d’attribuer un responsable et une décision à chaque flux : conserver, corriger, migrer ou arrêter.

Étape 2 : mettre SPF et DKIM en cohérence, flux par flux

L’externalisation des envois affaiblit les garanties de SPF lorsqu’elle oblige à inclure une sous-politique contrôlée par le prestataire et listant de grandes plages d’adresses IP (Afnic 06/11/2024). Proposition pratique : suivez la documentation officielle de chaque fournisseur et demandez-lui précisément quels enregistrements publier, quels domaines seront alignés et comment activer DKIM.

Proposition pratique : effectuez un test réel par flux vers plusieurs boîtes contrôlées, puis examinez les résultats d’authentification dans les en-têtes. Gardez une trace de la date, du service testé et du résultat. Pour les flux automatisés liés aux factures, intégrez ce contrôle à votre démarche de sécurisation de la facturation électronique.

Étape 3 : commencer DMARC en observation

L’ANSSI recommande de commencer par une politique p=none afin d’analyser les statistiques avant de passer à une politique plus stricte (ANSSI 19/06/2020). L’Afnic décrit également un parcours progressif : observation avec rapports, correction des flux légitimes, puis passage éventuel à quarantine ou reject (Afnic 30/09/2025).

Proposition pratique : publiez d’abord une politique d’observation avec une boîte de rapports maîtrisée, ou confiez l’analyse à un prestataire identifié. Définissez une cadence de revue et rattachez chaque source vue dans les rapports à votre inventaire. Cette étape ne garantit pas que tous les flux auront déjà été observés.

Traiter les sources inconnues sans conclure trop vite

Proposition pratique : classez chaque source en quatre catégories : légitime et conforme, légitime à corriger, inconnue à enquêter, ou non autorisée. Avant de bloquer, demandez au propriétaire métier si l’outil apparaît sous un nom technique différent. Si l’inventaire révèle des accès ou logiciels oubliés, complétez-le avec votre routine d’inventaire et de correctifs.

Étape 4 : renforcer par paliers, avec un retour arrière préparé

Les politiques p=quarantine et p=reject annoncent respectivement qu’un message en échec doit être catégorisé comme indésirable ou rejeté (ANSSI 19/06/2020). Le serveur destinataire applique toutefois sa propre stratégie de traitement (Afnic 02/06/2022). Proposition pratique : n’envisagez un palier plus strict qu’après correction des flux légitimes identifiés et validation des responsables métiers.

Proposition pratique : planifiez le changement hors période critique, conservez l’ancien enregistrement, désignez une personne capable de revenir au réglage précédent et surveillez les rapports ainsi que les signalements utilisateurs. Testez ensuite les messages métiers prioritaires : devis, factures, confirmations, formulaires et support. Cette procédure réduit le risque opérationnel sans pouvoir promettre l’absence totale d’incident.

Ne pas oublier les domaines qui n’envoient pas

Un domaine qui n’est pas utilisé pour envoyer des courriels peut néanmoins être usurpé dans des messages (Afnic 30/09/2025). Proposition pratique : ajoutez les domaines secondaires et parqués à l’inventaire, puis faites définir par votre administrateur DNS une politique adaptée à leur absence d’envoi.

FAQ sur SPF, DKIM et DMARC en TPE/PME

DMARC exige-t-il que SPF et DKIM réussissent tous les deux ?

Non. Une réussite alignée de SPF ou de DKIM peut permettre au message de réussir DMARC (Afnic 02/06/2022).

Faut-il passer directement à p=reject ?

Non. L’ANSSI recommande de commencer par analyser les statistiques avec p=none avant d’activer une politique plus stricte (ANSSI 19/06/2020). Proposition pratique : ne durcissez qu’après avoir expliqué ou corrigé les flux légitimes observés.

SPF, DKIM et DMARC empêchent-ils tout hameçonnage ?

Non. Ces mécanismes ne couvrent pas à eux seuls le typosquattage d’un domaine proche ni les courriels dont le contenu est piégé (ANSSI 19/06/2020). Pour préparer l’équipe au-delà du réglage DNS, une simulation de crise cyber peut compléter la démarche.

Une configuration correcte garantit-elle la délivrabilité ?

Non. Le serveur destinataire décide du traitement final du message (Afnic 02/06/2022). SPF, DKIM et DMARC ne constituent donc pas une garantie d’arrivée en boîte principale.

Conclusion : l’inventaire avant le blocage

SPF déclare des serveurs autorisés et DKIM permet de vérifier une signature (Afnic 02/06/2022). DMARC relie ces contrôles au domaine visible tout en publiant une politique de traitement (ANSSI 19/06/2020). L’ANSSI recommande de commencer par analyser les statistiques avec p=none avant une politique plus stricte (ANSSI 19/06/2020). L’Afnic conseille elle aussi d’observer les rapports, d’effectuer les corrections nécessaires, puis de durcir seulement lorsque le trafic authentique est correctement authentifié (Afnic 30/09/2025).

Proposition finale : commencez par une seule feuille d’inventaire, attribuez chaque expéditeur à un responsable et validez les flux critiques avant tout durcissement. Pour cartographier les outils et organiser ce déploiement sans ajouter une usine à gaz, contactez Mitizy.