Un escroc n’a pas besoin de pirater votre messagerie pour envoyer un email au nom de votre entreprise : il lui suffit que votre domaine ne publie ni SPF, ni DKIM, ni DMARC. Ces trois enregistrements DNS, configurés dans l’ordre ci-dessous, permettent aux serveurs de vos clients et fournisseurs de rejeter les faux emails à votre nom, sans bloquer vos envois légitimes.
Pourquoi l’usurpation de votre domaine vous concerne
Les campagnes qui imitent des marques connues, comme les fausses cartes cadeaux récemment documentées par CTM360, ne visent pas que les grands groupes. Pour une PME, le scénario typique est plus discret : un faux email « de la comptabilité » envoyé à un client avec un nouveau RIB, ou un faux message du dirigeant adressé au service financier. Sans politique DMARC, le serveur destinataire n’a aucun moyen fiable de savoir que ce message ne vient pas de vous.
Les grands fournisseurs de messagerie poussent dans le même sens : Google exige SPF, DKIM et DMARC pour les expéditeurs qui envoient plus de 5 000 messages par jour vers des comptes Gmail. Même en dessous de ce seuil, un domaine correctement authentifié arrive plus souvent en boîte de réception.
Avant de commencer, vérifiez deux points : vous avez accès à la zone DNS de votre domaine (chez votre registrar ou votre hébergeur), et vous savez qui gère votre messagerie (Microsoft 365, Google Workspace ou un hébergeur). Comptez une heure de configuration, puis quelques semaines d’observation.
Étape 1 : listez tous les services qui envoient en votre nom
C’est l’étape la plus négligée, et celle qui évite les mauvaises surprises. Votre messagerie principale n’est presque jamais le seul expéditeur : outil d’emailing, logiciel de facturation, CRM, formulaires du site web, plateforme de recrutement, copieur qui envoie les scans, prestataire de paie.
- Interrogez la comptabilité, le marketing et les RH : chacun utilise souvent un outil qui envoie des emails « @votre-domaine.fr ».
- Notez pour chaque service le nom du fournisseur et le lien vers sa documentation SPF et DKIM.
- Tenez cette liste à jour : chaque nouvel outil SaaS devra y être ajouté avant sa mise en service.
Si cet inventaire fait apparaître des outils que la DSI ne connaissait pas, notre méthode pour inventorier vos SaaS en une semaine vous aidera à compléter la liste.
Étape 2 : publiez un enregistrement SPF unique et propre
Le SPF (Sender Policy Framework) est un enregistrement TXT qui liste les serveurs autorisés à envoyer pour votre domaine. Pour un domaine sous Microsoft 365 complété par un outil d’emailing, il ressemble à ceci :
v=spf1 include:spf.protection.outlook.com include:spf.votre-outil-emailing.com ~all
Trois règles évitent la plupart des erreurs :
- Publiez un seul enregistrement SPF par domaine : deux enregistrements « v=spf1 » rendent le SPF invalide.
- Restez sous la limite de 10 recherches DNS fixée par la norme : chaque « include » compte, y compris ceux imbriqués chez vos fournisseurs.
- Terminez par « ~all » pendant la phase de test, puis par « -all » une fois l’inventaire validé.
Étape 3 : activez la signature DKIM chez chaque expéditeur
Le DKIM ajoute une signature cryptographique à chaque email. Le serveur destinataire la vérifie grâce à une clé publique publiée dans votre DNS. Contrairement au SPF, la signature DKIM survit au transfert d’un message, ce qui en fait le pilier le plus fiable de DMARC.
- Dans Microsoft 365, activez DKIM depuis le portail Microsoft Defender (rubrique d’authentification des emails), puis publiez les deux enregistrements CNAME « selector1 » et « selector2 » fournis.
- Dans Google Workspace, générez la clé depuis la console d’administration (Applications, Gmail, Authentifier les e-mails), publiez l’enregistrement TXT, puis lancez l’authentification.
- Répétez l’opération pour chaque outil de l’étape 1 : la plupart proposent un assistant de « domaine d’envoi authentifié ».
- Choisissez des clés de 2 048 bits lorsque le fournisseur le permet.
Étape 4 : publiez DMARC en mode observation
Le DMARC indique aux serveurs destinataires quoi faire d’un email qui échoue aux contrôles, et leur demande surtout de vous envoyer des rapports. Commencez sans rien bloquer, avec un enregistrement TXT sur « _dmarc.votre-domaine.fr » :
v=DMARC1; p=none; rua=mailto:[email protected]
La valeur « p=none » ne change rien à la distribution de vos emails : elle sert uniquement à collecter des données. Créez une boîte dédiée pour l’adresse « rua », car le volume de rapports peut vite devenir important.
Point clé souvent ignoré : DMARC exige un alignement. Il ne suffit pas qu’un email passe SPF ou DKIM, il faut que le domaine validé corresponde au domaine visible dans le champ « De ». Un outil d’emailing qui signe avec son propre domaine passera DKIM, mais échouera à DMARC tant que vous n’aurez pas configuré votre domaine chez lui.
Étape 5 : analysez les rapports pendant un mois complet
Les rapports agrégés arrivent au format XML, illisible à l’œil nu. Utilisez un outil d’analyse DMARC (plusieurs offres gratuites existent pour les petits volumes) qui transforme ces fichiers en tableau : quelles adresses IP envoient au nom de votre domaine, lesquelles passent et lesquelles échouent.
- Classez chaque source en trois catégories : légitime et conforme, légitime mais mal configurée, inconnue.
- Corrigez les sources légitimes en échec en revenant aux étapes 2 et 3.
- Traitez les sources inconnues comme des tentatives d’usurpation : ce sont elles que la politique finale bloquera.
Attendez d’avoir couvert un cycle mensuel complet : factures, relances et bulletins de paie partent souvent en fin de mois depuis des outils que l’on oublie.
Étape 6 : passez en quarantaine, puis en rejet
Une fois que toutes vos sources légitimes passent DMARC, durcissez la politique par paliers :
- « p=quarantine; pct=25 » : un quart des emails en échec est dirigé vers le courrier indésirable.
- « p=quarantine » sans pourcentage, pendant deux semaines.
- « p=reject » : les faux emails à votre nom sont refusés avant même d’arriver chez le destinataire.
À chaque palier, continuez à lire les rapports. Si un service légitime apparaît en échec, revenez au palier précédent le temps de le corriger, plutôt que de désactiver DMARC.
Étape 7 : verrouillez les domaines qui n’envoient jamais d’email
Les domaines secondaires (anciennes marques, variantes en .com ou .eu, domaines achetés pour éviter le typosquatting) sont des cibles de choix, justement parce que personne ne les surveille. Pour chacun d’eux, publiez directement :
- un SPF vide : « v=spf1 -all » ;
- un DMARC strict : « v=DMARC1; p=reject » ;
- un enregistrement MX nul si le domaine ne reçoit pas non plus d’emails.
Les erreurs qui bloquent vos propres emails
- Passer directement en « p=reject » sans période d’observation : vos factures envoyées par un logiciel tiers risquent d’être rejetées.
- Ajouter un second enregistrement SPF au lieu de compléter le premier.
- Oublier les sous-domaines : par défaut, la politique DMARC du domaine principal s’applique aussi à eux (la balise « sp » permet de la régler séparément).
- Considérer DMARC comme une protection contre tout le phishing : il bloque l’usurpation exacte de votre domaine, pas les domaines ressemblants comme « votre-domaine-fr.com ».
Ce dernier point explique pourquoi DMARC ne remplace pas une procédure de validation des virements : notre tutoriel pour bloquer la fraude au président par IA détaille les contrôles complémentaires côté finance.
Les rapports DMARC révèlent souvent des tentatives d’usurpation en cours, qu’il faut ensuite relier aux autres signaux de votre SI : c’est le rôle de notre SOC managé 24/7 pour PME et ETI, qui surveille en continu votre messagerie et vos accès.
Ce qu’il faut retenir
- SPF liste vos serveurs autorisés, DKIM signe vos emails, DMARC décide du sort des faux.
- L’inventaire des services expéditeurs conditionne tout le reste.
- Commencez en « p=none », lisez les rapports un mois, puis durcissez par paliers.
- Les domaines inactifs se verrouillent immédiatement en « p=reject ».
- DMARC bloque l’usurpation exacte de votre domaine, pas les domaines ressemblants.