Imaginez un courrier : SPF vérifie que le facteur est autorisé à distribuer pour votre domaine, DKIM contrôle le sceau apposé sur l’enveloppe et DMARC indique quoi faire si les contrôles échouent. Cette image simplifie le fonctionnement, mais aide à comprendre leur complémentarité.
Pourquoi l’adresse visible ne suffit pas
Le champ « De » d’un e-mail peut être falsifié, comme une adresse écrite sur une enveloppe. Sans authentification, un fraudeur peut tenter d’utiliser votre domaine pour envoyer du phishing. SPF, DKIM et DMARC donnent au serveur destinataire des éléments techniques pour évaluer le message.
SPF : quels serveurs peuvent envoyer ?
SPF est un enregistrement DNS qui liste les infrastructures autorisées à envoyer pour un domaine. Le serveur destinataire compare l’adresse IP de l’expéditeur à cette politique.
SPF a toutefois une limite importante : il vérifie le domaine technique utilisé pour le retour du message, qui peut différer du domaine affiché dans le champ « De ». Il peut aussi échouer lors de certains transferts automatiques. Il ne suffit donc pas seul.
DKIM : le message porte-t-il une signature valide ?
DKIM ajoute une signature cryptographique aux en-têtes du message. La clé privée reste chez l’expéditeur, tandis que la clé publique est publiée dans le DNS. Le destinataire peut ainsi vérifier que les parties signées n’ont pas été modifiées et que le domaine indiqué contrôle bien la clé.
Une signature DKIM valide prouve la cohérence technique de la signature ; elle ne garantit pas que le contenu est honnête ou sans danger.
DMARC : le domaine visible est-il aligné ?
DMARC relie les contrôles SPF et DKIM au domaine visible par l’utilisateur. Pour réussir, au moins l’un des deux doit être valide et aligné avec ce domaine. La politique DMARC indique ensuite au destinataire s’il doit surveiller, placer en quarantaine ou rejeter les messages non conformes.
p=none: observer sans demander de blocage ;p=quarantine: demander un traitement plus méfiant ;p=reject: demander le rejet des messages qui échouent.
Comment les trois protections travaillent ensemble
| Mécanisme | Question principale | Limite s’il est utilisé seul |
|---|---|---|
| SPF | Ce serveur est-il autorisé ? | Le domaine visible peut être différent |
| DKIM | La signature est-elle valide ? | La signature peut utiliser un autre domaine |
| DMARC | Le résultat est-il aligné avec le domaine visible ? | Dépend d’un SPF ou DKIM correctement configuré |
Les erreurs les plus fréquentes
- publier plusieurs enregistrements SPF au lieu d’une politique unique ;
- oublier un service qui envoie des factures, formulaires ou newsletters ;
- activer DKIM sans vérifier le domaine réellement utilisé pour signer ;
- passer directement à
p=rejectsans analyser les rapports DMARC ; - confondre authentification du domaine et protection contre tous les messages malveillants.
Vérifier les protections de votre domaine
L’outil TechAtelier contrôle la présence et la cohérence publique de SPF, DMARC, MX et d’autres paramètres DNS. Pour la configuration pas à pas, consultez ensuite notre tutoriel OVH.
Auditer mon domaineLa bonne démarche
Commencez par inventorier tous les expéditeurs légitimes. Configurez SPF et DKIM, publiez DMARC en observation, puis contrôlez de vrais messages et les rapports reçus. Renforcez la politique seulement après avoir corrigé les sources oubliées.
Suivre le tutoriel : configurer SPF, DKIM et DMARC chez OVH
Publié le 2 août 2026.