Vos emails ne sont pas délivrés ou pire, sont utilisés pour du phishing ? Vous ne comprenez pas d'où vient le problème ni comment les résoudre et protéger vos emails pour un taux de délivrabilité optimal ? Comprenez comment SPF, DKIM et DMARC protègent votre domaine et améliorent votre délivrabilité.
Vous pouvez avoir la meilleure campagne marketing par email, mais si vos emails n’atteignent pas la boîte de réception, tous vos efforts seront vains. Pour protéger votre domaine et garantir la délivrabilité de vos emails, trois protocoles d’authentification sont indispensables : SPF, DKIM et DMARC. Ces protocoles permettent d’authentifier vos emails et de les protéger contre l’usurpation d’identité (spoofing) et le phishing. Voyons comment ces trois mécanismes fonctionnent, comment les configurer et pourquoi ils sont indispensables ensemble pour une stratégie d’emailing sécurisée et efficace.
SPF (Sender Policy Framework) est un protocole qui permet de vérifier que les emails envoyés d’un domaine sont bien autorisés par le propriétaire de ce domaine. Il empêche les cybercriminels d’envoyer des emails frauduleux en usurpant votre nom de domaine.
Lorsqu’un serveur de messagerie reçoit un email, il vérifie si l’adresse IP de l’expéditeur est autorisée à envoyer des emails pour le domaine en question. Cette vérification est réalisée grâce à une liste d’adresses IP spécifiée dans un enregistrement SPF.
L’enregistrement SPF est une entrée DNS (Domain Name System) qui contient la liste des serveurs autorisés à envoyer des emails en votre nom. Il prend généralement la forme suivante :
v=spf1 include:mailprovider.com ~all
v=spf1 : indique qu’il s’agit d’un enregistrement SPF.include:mailprovider.com : autorise un fournisseur tiers (ex : votre outil d’emailing).all : rejette tous les autres envois non autorisés.Pour mettre en place SPF, suivez ces différentes étapes :
Si aucun SPF n'existe ➡️ Ajoutez un enregistrement TXT avec :
v=spf1 include:_spf.google.com ~all
Si un SPF existe déjà ➡️ Ajoutez include:_spf.google.com à la valeur existante.
Recherchez un enregistrement TXT commençant par v=spf1.
Si aucun enregistrement SPF n'existe, créez un nouvel enregistrement TXT avec les valeurs suivantes :
v=spf1 include:spf.protection.outlook.com ~allSi un enregistrement SPF existe déjà, modifiez l'enregistrement existant pour inclure "include:spf.protection.outlook.com" avant le mécanisme de terminaison "~all".
SPF ne protège pas les emails transférés, car l'IP de l'expéditeur peut changer. Il ne garantit pas l'intégrité du contenu et doit être complété par DKIM et DMARC.
DKIM (DomainKeys Identified Mail) est une méthode d’authentification qui permet d’attester qu’un email a bien été envoyé par un domaine légitime et qu’il n’a pas été modifié en cours de route.
Lorsqu’un email est envoyé, DKIM ajoute une signature cryptographique unique dans l’en-tête du message. Cette signature est générée à l’aide d’une clé privée stockée sur le serveur d’envoi.
Le serveur de réception vérifie la signature DKIM en comparant la clé publique enregistrée dans les DNS du domaine avec la signature contenue dans l’email. Si la validation échoue, l’email peut être marqué comme suspect.
Étape 1 : vérifier si DKIM est déjà configuré
Étape 2 : Générer une clé DKIM
Étape 3 : Ajouter la clé DKIM aux enregistrements DNS de votre domaine
Nom d'hôte : le nom d'hôte DNS fourni (par exemple, "google._domainkey.votredomaine.com").
Valeur : la clé DKIM générée précédemment.
Étape 4 : Activer la signature DKIM dans Google Workspace
Nom : selector1._domainkey.votredomaine.com
Cible : selector1-votredomaine-com._domainkey.votredomaine.onmicrosoft.com
Nom : selector2._domainkey.votredomaine.com
Cible : selector2-votredomaine-com._domainkey.votredomaine.onmicrosoft.com
(Remplacez "votredomaine.com" par votre nom de domaine réel.)
11. Attendez quelques minutes (peut aller jusqu’à quelques heures selon le fournisseur DNS).
12. Retournez sur le portail Microsoft 365 et actualisez la page DKIM.
DKIM présente trois avantages principaux :
DMARC (Domain-based Message Authentication, Reporting & Conformance) est un protocole qui permet aux propriétaires de domaine de définir des règles sur l’authentification des emails envoyés en leur nom.
Il vérifie que l’email passe les tests SPF et DKIM. Il définit une action à appliquer en cas d’échec (surveillance, mise en spam, ou rejet) définie par le propriétaire du domaine.
Vous pouvez choisir parmi 3 niveaux de protection :
⏹️ none : aucun impact, mais permet de surveiller les résultats.
🛡️ quarantine : les emails suspects sont placés en spam.
❌ reject : les emails non conformes sont rejetés.
1. Créez un enregistrement DMARC dans vos DNS sous la forme :
v=DMARC1; p=quarantine; rua=mailto:rapport@votredomaine.com
2. Définissez votre politique (none, quarantine, reject).
3. Surveillez les rapports pour affiner la configuration.
SPF vérifie l’expéditeur, DKIM assure l’intégrité des messages et DMARC applique des règles de contrôle. Ensemble, ils offrent une protection optimale.
Une bonne configuration de ces trois protocoles améliore la réputation de votre domaine et réduit le risque que vos emails soient considérés comme du spam.
“Découvrez notre outil “Le Modus Operandi” qui vous donne accès à la checklist ultime pour mettre en place votre stratégie de cold emailing.
BIMI (Brand Indicators for Message Identification) est un protocole plus récent que DMARC, DKIM et SPF. Il a été officiellement introduit en 2019 mais est devenu largement adopté à partir de 2021, notamment avec le support de Google et Yahoo. BIMI permet d’afficher le logo d’une entreprise à côté des emails authentifiés dans la boîte de réception des destinataires.
Le but est de renforcer la confiance des destinataires.
Cependant, sa mise en place est coûteuse car elle requiert l'achat d'un certificat Verified Mark Certificate (VMC), qui peut coûter plusieurs milliers d’euros.
En raison de son coût élevé et de son impact relativement faible sur la délivrabilité, BIMI est surtout adopté par de grandes entreprises ayant une forte présence de marque.
L' authentification est une étape incontournable. Par exemple, elle est inévitable lors d'un warm up d’une nouvelle adresse email. Avant de mettre en place vos campagnes d’email, des outils comme Woodpecker et Lemlist permettent de vérifier ces 3 protocoles d’authentification.
Woodpecker propose également un SPF Checker.
L’authentification des emails avec SPF, DKIM et DMARC est une nécessité en outbound marketing B2B. Une mise en place rigoureuse et un suivi régulier garantissent la protection de votre domaine et améliorent votre délivrabilité. Testez, surveillez et optimisez continuellement votre stratégie d’authentification.
