Un email envoyé depuis l'adresse professionnelle d'une PME peut aujourd'hui être rejeté avant même d'atteindre la boîte de réception du destinataire, sans qu'aucun message d'erreur clair ne prévienne l'expéditeur. Depuis que Google et Yahoo ont durci leurs exigences en février 2024, suivis par Microsoft en mai 2025, l'authentification du domaine d'envoi via SPF, DKIM et DMARC est devenue la condition d'entrée pour toute boîte mail professionnelle qui veut voir ses messages arriver à destination.

Ce que ces trois sigles signifient concrètement

SPF, pour Sender Policy Framework, est un enregistrement DNS qui liste les serveurs autorisés à envoyer des emails au nom de votre domaine. DKIM, pour DomainKeys Identified Mail, ajoute une signature cryptographique à chaque message, prouvant qu'il n'a pas été modifié en chemin. DMARC, pour Domain-based Message Authentication, Reporting and Conformance, relie les deux et indique aux fournisseurs de messagerie quoi faire lorsqu'un email échoue à ces vérifications, tout en générant des rapports qui révèlent qui envoie des emails en usurpant votre domaine.

Pourquoi ce n'est plus optionnel

Ces trois protocoles existent depuis longtemps, mais restaient jusqu'à récemment de simples recommandations de bonnes pratiques. Depuis 2024, Google et Yahoo imposent leur mise en place pour tout domaine envoyant un volume important de messages, avec des seuils précis autour de cinq mille emails par jour vers des adresses Gmail ou Yahoo personnelles. Microsoft a suivi en 2025 avec des règles similaires pour Outlook et Hotmail. Une PME qui envoie occasionnellement des devis ou des newsletters ne franchit pas nécessairement ce seuil, mais les filtres antispam de ces messageries favorisent désormais nettement les domaines authentifiés, quel que soit le volume envoyé, ce qui rend cette configuration utile bien au delà des gros expéditeurs visés initialement.

La différence entre rejet et classement en spam

Il existe une distinction importante à comprendre. Un domaine sans DMARC ou avec une configuration incomplète voit généralement ses emails filtrés vers le dossier spam du destinataire, ce qui reste visible même si peu de gens vont le consulter. Pour les gros expéditeurs qui dépassent les seuils fixés par Google et Microsoft, le non respect des exigences peut aller jusqu'au rejet pur et simple du message au niveau du serveur, avec un code d'erreur technique que le destinataire ne verra jamais et que l'expéditeur ne remarquera que s'il surveille ses journaux d'envoi.

Un problème encore largement répandu

Une part importante des domaines professionnels reste aujourd'hui dépourvue d'un enregistrement DMARC correctement configuré, ce qui les expose à l'usurpation et à des problèmes de délivrabilité. Ce chiffre varie selon les études, mais toutes convergent sur le même constat : la majorité des domaines n'ont toujours pas terminé cette mise en conformité, alors que la fenêtre de tolérance des grands fournisseurs de messagerie se referme progressivement.

Comment vérifier sa propre configuration

La méthode la plus simple consiste à envoyer un email de test vers une adresse Gmail, puis à ouvrir ce message et à consulter l'option Afficher l'original, qui indique clairement si les vérifications SPF, DKIM et DMARC sont passées ou ont échoué. Des outils gratuits en ligne, comme MXToolbox, permettent également de contrôler la présence et la validité de ces enregistrements DNS sans avoir à envoyer d'email de test.

La configuration en pratique

La mise en place technique se fait au niveau des enregistrements DNS du domaine, généralement via l'interface d'administration de l'hébergeur ou du registrar. Un piège fréquent concerne les entreprises qui utilisent plusieurs outils d'envoi, comme leur messagerie professionnelle, un logiciel de facturation et un outil de newsletter : chacun doit être correctement déclaré et signé, faute de quoi les emails envoyés depuis ces outils tiers échoueront l'alignement DMARC même si le domaine principal est bien configuré. Il est recommandé de commencer par une politique DMARC en mode surveillance uniquement, avant de passer progressivement à une politique plus stricte une fois la configuration validée sur plusieurs semaines.

Points à vérifier avant publication : confirmer à la date de publication les seuils exacts de volume retenus par Google, Yahoo et Microsoft pour qualifier un expéditeur de gros expéditeur, ainsi que les dates d'entrée en application citées pour Microsoft, et vérifier que les données chiffrées sur la proportion de domaines encore non conformes restent cohérentes avec les études disponibles les plus récentes.