Configurer SPF DKIM DMARC Email : Le Guide 2026
- SPF + DKIM + DMARC = trio anti-spoofing email obligatoire en 2026.
- Google et Yahoo exigent les 3 depuis février 2024 pour expéditeurs envoyant > 5 000 mails/jour.
- Configuration : ajouter 3 enregistrements TXT dans la zone DNS de votre domaine.
- Test : mail-tester.com vérifie deliverability en 1 minute.
Depuis février 2024, Google Gmail et Yahoo exigent SPF + DKIM + DMARC pour tout expéditeur envoyant > 5 000 emails/jour. Sans configuration : vos emails partent en spam ou rejetés. Voir DMARC.org.
Les 3 Protocoles Expliqués
SPF (Sender Policy Framework)
Ce qu'il fait : liste les serveurs autorisés à envoyer email pour votre domaine.
Format : enregistrement TXT dans DNS.
Exemple :
TXT @ "v=spf1 include:spf.infomaniak.ch include:spf.brevo.com -all"
DKIM (DomainKeys Identified Mail)
Ce qu'il fait : signature cryptographique des emails sortants. Prouve qu'ils n'ont pas été modifiés en transit.
Format : clé publique RSA dans DNS, clé privée chez serveur SMTP.
Exemple :
TXT mail._domainkey "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ..."
DMARC (Domain-based Message Authentication, Reporting & Conformance)
Ce qu'il fait : politique de gestion des emails échouant SPF/DKIM. Permet rapports.
Format : enregistrement TXT dans DNS.
Exemple :
TXT _dmarc "v=DMARC1; p=quarantine; rua=mailto:dmarc@votresite.fr"
Configuration Étape par Étape
Étape 1 — SPF
Vous devez lister tous les services envoyant des emails pour votre domaine :
| Service | Inclure dans SPF |
|---|---|
| Infomaniak | include:spf.infomaniak.ch |
| OVHcloud Email Pro | include:mx.ovh.com |
| Brevo (mail transac) | include:spf.brevo.com |
| Mailjet | include:spf.mailjet.com |
| Google Workspace | include:_spf.google.com |
| Microsoft 365 | include:spf.protection.outlook.com |
Exemple complet site avec mail Infomaniak + transac Brevo :
TXT @ "v=spf1 include:spf.infomaniak.ch include:spf.brevo.com -all"
⚠️ Limite 10 mécanismes SPF. Ne pas surcharger (utiliser SPF flattening si besoin).
Étape 2 — DKIM
Chaque service email vous fournit son enregistrement DKIM unique.
Infomaniak :
- Manager Infomaniak → Mail → DNS
- Copier ligne DKIM fournie
- Coller chez votre registrar comme TXT
Brevo :
- Brevo Dashboard → Settings → Senders & Domains → Authenticate
- Copier 2 enregistrements DKIM (brevo1._domainkey + brevo2._domainkey)
- Coller chez registrar
Google Workspace :
- Console Admin Google → Apps → Gmail → Authentifier email
- Générer clé DKIM → copier
- Coller chez registrar
Étape 3 — DMARC
Politique progressive recommandée :
Mois 1 : Mode monitor (aucun blocage)
TXT _dmarc "v=DMARC1; p=none; rua=mailto:dmarc@votresite.fr"
Mois 2-3 : Quarantine (spam quarantaine si échec)
TXT _dmarc "v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@votresite.fr"
Mois 4+ : Reject (rejet si échec)
TXT _dmarc "v=DMARC1; p=reject; rua=mailto:dmarc@votresite.fr"
pct=25 = applique politique à 25 % des emails (testing progressif). Augmenter à 50, 75, 100.
Configurer DNS chez Registrar
OVHcloud
- Espace Client → Domains → votre domaine → Zone DNS
- + Ajouter une entrée → TXT
- Sous-domaine :
@,mail._domainkey, ou_dmarc - Valeur : enregistrement complet
- Valider
Cloudflare
- Dashboard Cloudflare → DNS → Records
- + Add record → Type TXT
- Same procedure
Infomaniak (DNS Infomaniak)
- Manager → Domains → DNS
- + Add record → TXT
Vérifier Configuration
Outils Gratuits
- mail-tester.com — Score sur 10 + détail SPF/DKIM/DMARC
- mxtoolbox.com — Diagnostic complet DNS email
- dmarcian.com — Vérifier DMARC + rapports
Test mail-tester
- Aller sur mail-tester.com
- Copier l'adresse fournie
- Envoyer un email depuis votre domaine → cette adresse
- Cliquer "Then check your score"
- Vérifier :
- SPF : ✅
- DKIM : ✅
- DMARC : ✅
- Score 9-10/10 visé
Rapports DMARC
Configuration rua=mailto:dmarc@votresite.fr = vous recevez des rapports XML quotidiens des fournisseurs email (Google, Microsoft, Yahoo) listant qui essaie d'envoyer en votre nom.
Pour lire ces rapports facilement : services comme Postmark DMARC Monitor ou Valimail (gratuits).
Erreurs Communes
"SPF Permerror : Too many DNS lookups"
10 includes SPF. Solution : SPF flattening via autospf.com ou DMARCLY.
"DKIM signature missing"
DKIM pas activé chez votre serveur SMTP. Vérifier configuration côté hébergeur.
"DMARC : domain not in alignment"
From: header doit matcher domaine SPF/DKIM. Si vous envoyez depuis noreply@votresite.fr mais SPF lié à mail.votresite.fr : ajuster alignment (relaxed mode dans DMARC).
Questions Fréquentes
SPF DKIM DMARC obligatoires ?
Depuis février 2024 : oui pour expéditeurs envoyant > 5 000 emails/jour vers Gmail/Yahoo (sinon rejets). Pour expéditeurs < 5 000/jour : très fortement recommandé pour éviter spam.
Combien de temps pour configurer SPF DKIM DMARC ?
15-30 minutes total : SPF (5 min), DKIM (10 min — copier-coller depuis fournisseur), DMARC (5 min monitor mode). Propagation DNS : 1-24 h.
DMARC quarantine vs reject ?
Monitor (p=none) : aucun blocage, juste reporting. Idéal mois 1. Quarantine (p=quarantine) : emails suspects en spam folder. Idéal mois 2-3. Reject (p=reject) : emails suspects rejetés. Idéal une fois SPF/DKIM stables.
Comment savoir si mes emails arrivent en spam ?
mail-tester.com (score 9-10/10 = arrivée inbox). Postmaster Tools Google (analytics emails reçus par Gmail). Postmaster Yahoo. Tests envoi vers vos propres comptes Gmail, Outlook, Yahoo.