Le protocole SPF (Sender Policy Framework) permet de spécifier quels serveurs sont autorisés à envoyer des emails pour votre domaine.
Ajoutez cet enregistrement TXT à votre configuration DNS :
Nom/Hôte : @ ou votre-domaine.com
Type : TXT — TTL : 3600
Meilleures pratiques SPF
- Terminez par ~all (recommandé) ou -all (strict).
- Limitez les lookups DNS à 10 maximum.
- N'autorisez que les serveurs qui envoient réellement des emails.
DKIM (DomainKeys Identified Mail) permet de signer numériquement les emails pour garantir leur authenticité et intégrité.
La génération de clés dans votre navigateur est sécurisée. Les clés privées ne quittent jamais votre machine.
Enregistrement DKIM #1
Enregistrement DKIM #2
Prochaine rotation :
Meilleures pratiques DKIM
- Utilisez des clés RSA d'au moins 2048 bits.
- Effectuez une rotation des clés tous les 6 mois.
- Ne partagez jamais votre clé privée DKIM.
- Alignez le domaine de signature avec le domaine From: pour DMARC.
DMARC définit des politiques de traitement pour les emails qui échouent l'authentification SPF ou DKIM.
Ajoutez cet enregistrement TXT à votre configuration DNS :
Nom/Hôte : _dmarc.votre-domaine.com
Type : TXT — TTL : 3600
Meilleures pratiques DMARC
- Commencez par p=none, puis passez à p=quarantine puis p=reject.
- Utilisez pct=100 pour une protection complète.
- Configurez toujours une adresse rua pour les rapports agrégés.
Vérifiez vos enregistrements SPF, DKIM et DMARC via DNS-over-HTTPS (Cloudflare).
Conseils de validation
- Pour SPF, vérifiez que les lookups DNS ne dépassent pas 10.
- Pour DKIM, la clé publique doit faire au moins 2048 bits (RSA).
- Pour DMARC, vérifiez que les adresses rua/ruf sont valides.
Mettez en place une authentification email complète avec SPF, DKIM et DMARC.
L'authentification des emails est essentielle pour protéger votre domaine contre l'usurpation d'identité (spoofing) et améliorer la délivrabilité. Les trois normes principales :
- SPF : Vérifie que l'adresse IP expéditrice est autorisée.
- DKIM : Ajoute une signature numérique aux emails.
- DMARC : Définit des politiques pour les échecs d'authentification.
- Préparer : Identifiez tous les services qui envoient des emails en votre nom.
- SPF : Créez un SPF avec ~all, limitez les lookups à 10.
- DKIM : Générez des clés ≥2048 bits, publiez-les dans le DNS.
- DMARC monitoring : p=none avec rua/ruf, analysez 2 semaines.
- Corriger : Corrigez les sources qui échouent l'authentification.
- Durcir : p=quarantine puis p=reject, sp=reject.
- Maintenance : Rotation DKIM tous les 6 mois, surveillez les rapports.
Problèmes courants
| Problème | Solution |
|---|---|
| Échec SPF | Ajouter l'IP au SPF |
| Trop de lookups SPF | Aplatir le SPF |
| Échec DKIM | Vérifier le sélecteur et la clé publique |
| Pas de rapports DMARC | Vérifier l'adresse rua |
| Emails rejetés | Revenir à p=none, corriger SPF/DKIM |
SPF et DKIM obligatoires pour les expéditeurs en masse. DMARC obligatoire (min. p=none). Taux de rebond < 3%.