SPF, DKIM, DMARC : protéger son domaine contre l’usurpation

9 novembre 2026 · DNS · Messagerie · Sécurité

Les trois enregistrements DNS qui empêchent quelqu’un d’envoyer des mails à votre nom, expliqués simplement.

Le protocole SMTP date de 1982 et ne vérifie pas l'expéditeur : techniquement, n'importe qui peut écrire « From: [email protected] ». Trois enregistrements DNS corrigent ce défaut.

SPF

La liste des serveurs autorisés à envoyer pour le domaine. Le serveur qui reçoit compare l'adresse IP de l'expéditeur à cette liste.

v=spf1 include:_spf.google.com ~all

DKIM

Une signature cryptographique ajoutée à chaque mail. La clé publique est publiée dans le DNS : le destinataire vérifie que le message n'a pas été modifié et qu'il vient bien du domaine.

DMARC

La politique à appliquer si SPF ou DKIM échoue : ne rien faire (none), mettre en quarantaine (quarantine) ou rejeter (reject). DMARC envoie aussi des rapports pour voir qui envoie au nom du domaine.

v=DMARC1; p=quarantine; rua=mailto:[email protected]

La bonne méthode

• Recenser tous les services qui envoient des mails (messagerie, site, outil de facturation...)
• Publier SPF et activer DKIM pour chacun
• Commencer DMARC en p=none et lire les rapports quelques semaines
• Passer ensuite en quarantine, puis en reject

Pour vérifier un domaine depuis un terminal :

nslookup -type=TXT exemple.fr
nslookup -type=TXT _dmarc.exemple.fr