Un de vos fournisseurs reçoit un email signé de votre nom de domaine. Le ton ressemble à celui de votre direction financière, la signature aussi. Il déclenche un virement. Sauf que personne, chez vous, n'a jamais écrit ce message. C'est l'usurpation d'email, et elle reste l'une des portes d'entrée les plus rentables pour la fraude au président comme pour le phishing de masse.
Le sujet n'est plus seulement défensif. Depuis 2024, Gmail, Yahoo et Microsoft exigent l'authentification des expéditeurs qui envoient en volume : sans SPF, DKIM et DMARC correctement posés, vos propres emails légitimes finissent en indésirables. Sécurité et délivrabilité tirent désormais dans le même sens.
La bonne nouvelle : ces trois mécanismes sont des standards ouverts, gratuits, et se mettent en place en une après-midi de rigueur. Ce guide déroule le trio dans l'ordre, avec un fil rouge concret — une PME de 40 personnes sous Microsoft 365, avec un outil d'emailing et un logiciel de facturation en ligne.
SPF : qui a le droit d'écrire en votre nom
SPF (Sender Policy Framework) est un simple enregistrement TXT dans votre DNS qui liste les serveurs autorisés à envoyer des emails pour votre domaine. Quand un serveur destinataire reçoit un message, il vérifie que le serveur émetteur figure bien dans cette liste.
Pour notre PME sous Microsoft 365 avec un outil d'emailing, l'enregistrement ressemble à :
v=spf1 include:spf.protection.outlook.com include:_spf.brevo.com -all
include: délègue l'autorisation à un fournisseur (Microsoft, Google Workspace, votre CRM, votre logiciel de facturation).-all signifie « tout le reste est refusé » (hard fail). C'est le réglage cible.- Attention à la limite de 10 résolutions DNS : au-delà, SPF casse silencieusement. N'empilez pas les
include: d'outils que vous n'utilisez plus.
DKIM : la signature qui prouve l'authenticité
Là où SPF vérifie l'adresse du serveur, DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque message. Votre serveur d'envoi signe l'email avec une clé privée ; le destinataire vérifie la signature grâce à une clé publique publiée dans votre DNS.
L'intérêt : la signature prouve que le contenu n'a pas été altéré, et elle survit à un transfert. La plupart des fournisseurs (Microsoft 365, Google Workspace, Brevo, Mailchimp) génèrent la clé pour vous ; il suffit de coller l'enregistrement TXT fourni à l'emplacement indiqué, du type selecteur._domainkey.votredomaine.fr.
DMARC : le chef d'orchestre et ses rapports
SPF et DKIM répondent chacun à une question. DMARC (Domain-based Message Authentication) les relie et ajoute deux choses décisives : une politique (que faire quand un message échoue ?) et des rapports (qui envoie réellement en mon nom ?).
Un enregistrement DMARC minimal, publié sur _dmarc.votredomaine.fr :
v=DMARC1; p=none; rua=mailto:rapports@votredomaine.fr
p= définit la sanction : none (observer), quarantine (mettre en indésirable), reject (refuser).rua= est l'adresse qui reçoit les rapports agrégés quotidiens envoyés par Gmail, Microsoft, Yahoo et les autres.- DMARC exige aussi l'alignement : le domaine affiché dans le champ « De » doit correspondre au domaine validé par SPF ou DKIM. C'est précisément ce qui bloque l'usurpation exacte de votre nom de domaine — le scénario du faux ordre de virement.
De p=none à p=reject : la montée en puissance sans casse
L'erreur classique est de publier p=reject du premier coup et de bloquer ses propres factures. La bonne méthode est progressive :
- Semaine 1-2 :
p=none. Vous ne bloquez rien, vous collectez les rapports pour recenser tous vos expéditeurs légitimes (CRM, paie, newsletter, signature électronique, expert-comptable).
- Semaine 3-4 : corrigez SPF et DKIM pour chaque expéditeur identifié, jusqu'à ce qu'ils soient tous alignés.
- Semaine 5 :
p=quarantine; pct=25, puis montez le pourcentage progressivement.
- Semaine 6+ :
p=reject. À ce stade, plus personne ne peut écrire en votre nom sans autorisation.
Lire les rapports sans y passer ses nuits
Les rapports agrégés arrivent au format XML, illisible à l'œil nu. Un analyseur DMARC (plusieurs offres gratuites ou peu coûteuses existent) les transforme en tableau de bord clair :
- Quels serveurs envoient en votre nom, et lesquels échouent l'authentification.
- Comment distinguer un expéditeur légitime oublié d'une réelle tentative d'usurpation.
- La certitude que votre passage en
reject ne cassera rien — avant de l'activer.
Comment Sedona peut aider
SPF, DKIM et DMARC font partie des tout premiers points vérifiés par Sedona Radar dans son audit de votre surface d'attaque externe. En quelques minutes, le scan indique si votre domaine publie ces enregistrements, si votre politique DMARC protège réellement ou reste bloquée en none, et il révèle les autres angles morts exposés sur Internet — ports, configuration TLS, sous-domaines, vulnérabilités connues. Radar mesure votre exposition et vous donne un score indicatif ; il ne corrige pas à votre place, mais il vous dit exactement par où commencer.
Testez gratuitement votre exposition email avec le plan Découverte de Sedona Radar, ou parlez-en à un expert si vous voulez un accompagnement sur la mise en conformité.
