Dans cet article
Vous les avez peut-être croisés dans un échange avec votre prestataire informatique, un audit de sécurité ou un questionnaire de conformité. SPF, DKIM et DMARC ont l’air très techniques. Leur rôle tient pourtant en une phrase : prouver qu’un email envoyé avec l’adresse de votre entreprise vient bien de votre entreprise.
En bref. SPF, DKIM et DMARC sont trois réglages associés au nom de domaine d’une entreprise, c’est-à-dire la partie de l’adresse email située après le @. SPF liste les serveurs autorisés à envoyer des emails en son nom. DKIM signe chaque email pour prouver son origine. DMARC fixe la conduite à tenir quand un email échoue à ces vérifications. Ensemble, ils empêchent qu’un inconnu utilise votre adresse exacte pour envoyer des emails.
Le point de départ : un email ne prouve pas son expéditeur
Par défaut, l’adresse d’expéditeur d’un email se remplit comme le dos d’une enveloppe : on peut y écrire ce qu’on veut. C’est ce qui rend possibles les faux emails envoyés au nom d’une entreprise, comme une fausse facture adressée à ses clients. SPF, DKIM et DMARC servent à combler ce manque.
SPF : la liste des expéditeurs autorisés
SPF signifie Sender Policy Framework, que l’on peut traduire par « règle d’expédition ». Le nom compte moins que l’idée.Votre entreprise publie la liste des serveurs autorisés à envoyer des emails en son nom : la messagerie, mais aussi l’outil de newsletter ou le logiciel de facturation. À l’arrivée, cette liste est consultée automatiquement. Un email parti d’un serveur absent de la liste devient suspect. Pour le retenir : SPF, c’est la liste des facteurs autorisés à distribuer votre courrier.
DKIM : la signature qui prouve l’origine
DKIM signifie DomainKeys Identified Mail. Chaque email envoyé par votre entreprise reçoit une signature numérique, invisible pour le lecteur, qui est vérifiée à l’arrivée. Une signature valide prouve deux choses : l’email vient bien de votre domaine, et son contenu n’a pas été modifié en route. L’équivalent sur papier : le cachet de cire sur une enveloppe. S’il porte votre sceau et qu’il est intact, la lettre vient de vous.
DMARC : la consigne en cas d’échec
DMARC signifie Domain-based Message Authentication, Reporting and Conformance. C’est la pièce qui relie les deux autres. SPF et DKIM servent à vérifier. DMARC fixe la conduite à tenir. Il s’agit d’une consigne publiée par votre entreprise, à destination des messageries qui reçoivent ses emails. Elle s’applique à tout email qui affiche votre adresse mais échoue aux vérifications. Trois consignes sont possibles : le laisser passer, le classer en indésirable ou le rejeter.
DMARC a un second rôle, souvent méconnu : il permet à l’entreprise de recevoir des rapports sur les emails envoyés en son nom. On y repère aussi bien les tentatives d’imitation que ses propres outils oubliés.
Pourquoi il faut les trois
| Sigle | Ce qu’il signifie | Son rôle en une phrase |
| SPF | Sender Policy Framework | Liste les serveurs autorisés à envoyer des emails au nom de l’entreprise. |
| DKIM | DomainKeys Identified Mail | Signe chaque email pour prouver son origine et montrer qu’il n’a pas été modifié. |
| DMARC | Domain-based Message Authentication, Reporting and Conformance | Fixe la conduite à tenir quand un email échoue aux vérifications, et permet de recevoir des rapports. |
Chacun couvre l’angle mort des autres. SPF et DKIM vérifient, mais ne disent rien de ce qu’il faut faire d’un email suspect. DMARC, lui, ne vérifie rien seul : il s’appuie sur les résultats de SPF et de DKIM. C’est leur combinaison qui protège réellement votre adresse.
Pourquoi ces sigles reviennent si souvent
Les grandes messageries en ont fait une condition d’accès. Depuis février 2024, Google et Yahoo exigent SPF, DKIM et DMARC des expéditeurs qui envoient plus de 5 000 emails par jour vers leurs utilisateurs, et demandent au minimum SPF ou DKIM à tous les autres. Microsoft a suivi le 5 mai 2025 pour Outlook.com, Hotmail et Live, et recommande ces trois réglages à tous les expéditeurs.
Ils restent pourtant peu répandus en France. Selon l’Afnic, qui gère les noms de domaine en .fr, moins d’un domaine en .fr sur cinq utilisait DMARC en 2025.
Ce que ces réglages ne font pas
SPF, DKIM et DMARC protègent votre adresse exacte. Ils ne protègent pas une boîte mail piratée : dans ce cas, la parade passe par le mot de passe et la double authentification. Ils ne bloquent pas non plus les adresses qui ressemblent à la vôtre à une lettre près. Face à celles-ci, la vérification par téléphone des demandes sensibles reste le meilleur réflexe.
FAQ
Questions fréquentes
Quelle est la différence entre SPF, DKIM et DMARC ?
SPF vérifie que l’email part d’un serveur autorisé. DKIM vérifie sa signature. DMARC fixe la conduite à tenir quand l’une de ces vérifications échoue.
Faut-il vraiment les trois ?
Oui. Chacun seul laisse une faille, et Google, Yahoo et Microsoft exigent les trois pour les expéditeurs de gros volumes.
Comment savoir si mon entreprise les utilise ?
Des outils gratuits en ligne l’indiquent en quelques secondes à partir de votre nom de domaine. Votre prestataire informatique peut aussi vous répondre, et vous dire si DMARC bloque réellement les imitations ou se contente d’observer.
Qui s'en occupe dans une entreprise ?
En général, le service informatique ou le prestataire, car ces réglages se font sur le nom de domaine. Mais ils concernent aussi les autres équipes : chaque outil qui envoie des emails au nom de l’entreprise, comme une plateforme de newsletter, doit être déclaré.
