Module 4 · 4.1
Français
SPF, DKIM et DMARC : comment éviter les faux e-mails envoyés en votre nom
Module 4: E-mail, site web et domaine · Temps de lecture : 9 minutes
Objectif pédagogique : après cette leçon, vous saurez expliquer comment SPF, DKIM et DMARC s'associent pour lutter contre l'usurpation de votre domaine, où se situe leur limite, et comment contrôler et évaluer l'état de votre propre domaine.
Notions clés : spoofing, SPF, DKIM, DMARC, alignement, politique none / quarantine / reject, rapports DMARC, null MX, domaine similaire (lookalike)
Pourquoi c'est un sujet de sécurité
Dans le module 1, vous avez vu comment fonctionne la fraude à la facture : un client reçoit un e-mail "de la part de" factuur@example.com avec un nouvel IBAN. Si votre domaine n'est pas protégé, un escroc n'a besoin de rien pirater pour cela. L'e-mail a été conçu dans les années quatre-vingt sans aucun contrôle sur l'expéditeur. N'importe quel serveur de messagerie dans le monde peut envoyer un message avec votre adresse dans le champ "De :". On appelle cela le spoofing.
La victime n'est alors pas vous, mais votre client ou votre fournisseur. Pourtant, c'est votre nom qui est entaché, et c'est souvent votre téléphone qui sonne. C'est pourquoi la protection de votre domaine de messagerie a sa place dans une formation à la sécurité, et pas seulement dans "s'assurer que les e-mails arrivent bien".
Trois enregistrements DNS permettent ensemble aux destinataires de reconnaître et de rejeter les faux e-mails envoyés en votre nom : SPF, DKIM et DMARC. Dans cette leçon, vous apprendrez ce qu'ils font ensemble, ce qu'ils ne font pas, et comment évaluer votre propre domaine. Les détails techniques (la structure de chaque enregistrement, les pièges lors de la configuration) figurent dans la formation DNS, leçons 4.3, 4.4 et 4.5, et prochainement dans la formation E-mail au point (en cours de développement).
Trois contrôles, une seule question
| Enregistrement | Ce qu'il indique | Où il se trouve | Ce que le destinataire vérifie |
|---|---|---|---|
| SPF | "Ces serveurs sont autorisés à envoyer des e-mails en mon nom." | Enregistrement TXT sur example.com, commence par v=spf1 | L'e-mail provient-il d'un serveur figurant dans la liste ? On regarde l'adresse technique d'enveloppe (Return-Path), pas l'adresse "De :". |
| DKIM | "Un véritable e-mail de ma part porte cette signature." | Enregistrement TXT ou CNAME sur <selector>._domainkey.example.com | La signature numérique est-elle correcte, et l'e-mail n'a-t-il pas été modifié en chemin ? |
| DMARC | "Le contrôle réussi correspond-il à mon domaine ? Si non, faites ceci." | Enregistrement TXT sur _dmarc.example.com, commence par v=DMARC1 | SPF ou DKIM réussit-il pour le domaine présent dans l'adresse "De :" ? C'est ce qu'on appelle l'alignement. |
L'élément essentiel à comprendre : SPF et DKIM seuls ne suffisent pas. Un escroc peut envoyer un e-mail qui passe parfaitement le contrôle SPF pour son propre domaine et qui est correctement signé par son propre domaine, alors que le champ "De :" indique info@example.com. Seul DMARC établit le lien avec l'adresse que voit votre client. Et c'est seulement DMARC qui indique au destinataire quoi faire si cela ne correspond pas.
Un destinataire note le résultat dans les en-têtes de l'e-mail. Dans la leçon 3.3, vous avez appris à les lire. Un faux e-mail envoyé en votre nom se présente par exemple ainsi chez un destinataire :
From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
dkim=pass header.d=goedkopemailer.example;
dmarc=fail (p=reject) header.from=example.comSPF et DKIM réussissent, mais pour un autre domaine. DMARC échoue, et comme la politique de example.com est réglée sur reject, le destinataire rejette l'e-mail.
Les trois niveaux de politique DMARC
| Politique | Ce que font les destinataires avec un e-mail non conforme | Ce que cela vous apporte |
|---|---|---|
p=none | Rien, l'e-mail est simplement distribué. | Des rapports (si vous renseignez rua=) et une vue sur qui envoie des e-mails en votre nom. Pas encore de protection. |
p=quarantine | Dans le dossier spam. | Le faux e-mail se fait moins remarquer, mais il est toujours présent. |
p=reject | Rejet. | La meilleure protection contre l'usurpation de votre domaine. |
De nombreuses entreprises restent des années durant en p=none. C'est compréhensible, car c'est sans risque pour vos propres e-mails, mais ce n'est pas un aboutissement. Avec p=none, vous avez une alarme qui se déclenche mais une porte qui ne se verrouille pas.
Le bon ordre à suivre
Une politique trop stricte sur un domaine dont tous les expéditeurs ne sont pas connus fera disparaître vos propres factures ou newsletters. Une politique trop laxiste laissera les escrocs agir librement. L'ordre qui fonctionne pour presque tout le monde :
- Établissez une liste de tout ce qui envoie des e-mails au nom de votre domaine. Votre fournisseur de messagerie, mais aussi votre site web (formulaire de contact, boutique en ligne), votre logiciel de comptabilité, votre service de newsletter, votre système de prise de rendez-vous. C'est ce que l'on oublie le plus souvent.
- Mettez de l'ordre dans votre SPF : exactement un seul enregistrement, tous les expéditeurs inclus, se terminant par
~all(valeur par défaut sûre) ou-all(si vous êtes certain que la liste est correcte). Jamais+all. - Activez DKIM pour chaque service qui le prend en charge, avec exactement les enregistrements fournis par ce service.
- Démarrez DMARC avec
p=noneet une adresse de rapport (rua=mailto:dmarc@example.com). Observez pendant quelques semaines dans les rapports quels services réussissent et lesquels échouent. - Passez à
p=quarantinepuis àp=rejectlorsque vous ne voyez plus vos propres e-mails échouer.
Un domaine qui n'envoie jamais d'e-mails (un nom de marque que vous avez simplement réservé, un ancien domaine) peut être sécurisé strictement dès maintenant. Les escrocs recherchent précisément ce type de domaines, car personne ne les surveille :
example.net. MX 0 .
example.net. TXT "v=spf1 -all"
_dmarc.example.net. TXT "v=DMARC1; p=reject"Le null MX (0 .) indique "aucun e-mail n'arrive ici", -all indique "personne n'est autorisé à envoyer des e-mails au nom de ce domaine", et p=reject demande aux destinataires de tout rejeter.
Ce que cela n'empêche pas
SPF, DKIM et DMARC protègent votre nom de domaine exact. Ce ne sont pas des filtres antiphishing. Trois choses ne sont pas empêchées :
- Les domaines similaires (lookalike). Un escroc enregistre
examp1e.exampleouexample-facturen.exampleet y configure lui-même proprement SPF, DKIM et DMARC. Cet e-mail passera partout. Seule la lecture attentive du domaine (leçon 3.2) permet de s'en prémunir, ainsi qu'éventuellement la réservation des variantes les plus évidentes de votre propre nom. - Uniquement le nom d'affichage. Un e-mail provenant de
bakkerij.example.factuur@gratismail.exampleavec comme nom d'affichage "Bakkerij Example" n'a rien à voir avec votre domaine. DMARC examine l'adresse, pas le nom. - Une boîte de messagerie piratée. Si un attaquant se connecte à
info@example.com, il envoie alors des e-mails via votre véritable serveur. Cet e-mail réussit les contrôles SPF, DKIM et DMARC, car techniquement il est authentique. C'est contre cela que protègent les mots de passe robustes et l'authentification à deux facteurs (2FA) (module 2).
SPF, DKIM et DMARC prouvent qu'un e-mail provient du domaine. Ils ne prouvent pas que le domaine est digne de confiance, ni que l'expéditeur est bien celui qu'il prétend être.
Ce que cela vous apporte, à vous et à vos clients
- Protection de vos clients. Avec
p=reject, les fausses factures envoyées exactement en votre nom sont rejetées par les grands fournisseurs de messagerie avant même que votre client ne les voie. - Meilleure délivrabilité. Depuis février 2024, Gmail et Yahoo exigent de toute personne envoyant plus d'environ 5 000 e-mails par jour la mise en place de SPF, DKIM et DMARC (au moins
p=none) ; Microsoft impose cette exigence depuis mai 2025 pour Outlook.com et Hotmail. Même pour les petits expéditeurs, un e-mail correctement authentifié finit moins souvent dans les spams. - Visibilité sur les abus. Les rapports DMARC indiquent si quelqu'un tente d'utiliser votre domaine. Utilisez une adresse dédiée à cet effet ; vous recevrez rapidement plusieurs rapports par jour.
DMARC a été révisé en mai 2026 sous la référence RFC 9989, qui remplace la RFC 7489. Les enregistrements existants avec v=DMARC1 continuent de fonctionner normalement.
En pratique : voici à quoi cela ressemble
Vous pouvez contrôler l'état de n'importe quel domaine sans rien installer. De manière indépendante, cela est possible avec le test de messagerie d'internet.nl. Le contrôle public d'e-mail et le contrôle de santé de domaine de WebOké affichent également SPF, DMARC et MX avec un point vert, orange ou rouge. Si votre domaine est chez WebOké, le même contrôle apparaît sous forme de carte sur la page du domaine dans Mon WebOké, avec un bouton pour ajouter un enregistrement DMARC manquant avec p=none. Chez d'autres fournisseurs, le fonctionnement est comparable : recherchez "authentification des e-mails" ou les paramètres DNS de votre domaine.
Soyez attentif, pour chaque outil, à ce que signifie "vert". Certains outils affichent déjà un vert dès p=none, parce que l'enregistrement est valide. Du point de vue de la sécurité, p=none correspond à un orange : l'enregistrement est correct, mais la protection n'est pas encore effective.
Résumé
- Sans protection, n'importe qui peut envoyer un e-mail avec votre adresse dans le champ "De :" (spoofing).
- SPF indique quels serveurs sont autorisés à envoyer des e-mails, DKIM appose une signature, DMARC vérifie si l'un des deux réussit pour le domaine que voit votre client et indique ce qu'il faut faire si ce n'est pas le cas.
- Ordre à suivre : recenser les expéditeurs, SPF, DKIM, DMARC
p=noneavec rapports, puisquarantineetreject. Fermer immédiatement les domaines qui n'envoient pas d'e-mails. - Ils ne protègent pas contre les domaines similaires (lookalike), les noms d'affichage trompeurs ou une boîte de messagerie piratée.
p=noneest un début, pas une protection.
Quiz
Exercice
Exercice A4.1 : Évaluer la protection des e-mails de votre domaine. Saisissez le nom de votre propre domaine (si vous n'en avez pas, utilisez sidn.nl). Le programme interroge les enregistrements MX, SPF et DMARC et attribue à chaque élément un vert, un orange ou un rouge avec une explication. Indiquez ensuite quelle politique DMARC est en place et quelle serait votre prochaine étape.
Exercice D4.1 : Qui envoie des e-mails au nom de votre domaine ? Établissez une liste de tous les services qui envoient des e-mails avec une adresse de votre domaine : fournisseur de messagerie, site web, boutique en ligne, comptabilité, newsletter, système de prise de rendez-vous. Pour chaque service, cochez s'il figure dans votre SPF et s'il utilise DKIM avec votre propre domaine. Notez quelle politique DMARC vous souhaitez avoir dans trois mois, et ce qu'il reste à faire pour y parvenir.
Exercice D4.1: Qui envoie des e-mails au nom de votre domaine ?
Voici comment procéder : (1) Dressez la liste de tous les services qui envoient des e-mails avec une adresse de votre domaine : fournisseur de messagerie, site web et formulaire de contact, boutique en ligne, comptabilité et factures, newsletter, système de rendez-vous ou de réservation, CRM, imprimante ou scanner qui envoie des e-mails. (2) Recherchez pour chaque service, dans les paramètres ou la documentation, comment il gère SPF et DKIM pour votre domaine. (3) Envoyez depuis chaque service un e-mail de test à vous-même et consultez, dans la source du message, la ligne Authentication-Results (leçon 3.3). (4) Notez pour chaque service : spf=, dkim= avec header.d=, dmarc=.
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes décrites dans les articles de WebOké s'appliquent à l'environnement de WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.
- Formation DNS, leçons 4.3 (SPF), 4.4 (DKIM) et 4.5 (DMARC) : https://www.weboke.lu/dns-cursus
- Qu'est-ce que le DMARC ? Explication en termes simples
- Comment fonctionne l'enregistrement SPF dans le DNS ?
- Créer un enregistrement DMARC dans DirectAdmin
- Guide DirectAdmin 5.7: Configurer et compléter le SPF
- Guide DirectAdmin 5.8: Activer et vérifier DKIM
- Guide DirectAdmin 5.9: DMARC instellen
- Contrôle public d'e-mail : https://www.weboke.lu/verification-e-mail
- Internet.nl, test de messagerie (indépendant) : https://internet.nl