Vous pouvez avoir les meilleurs emails du monde — si votre configuration DNS est mauvaise, ils atterrissent en spam avant même d'être lus. SPF, DKIM et DMARC sont les trois piliers techniques de la délivrabilité email. Ce guide vous explique ce que c'est, pourquoi c'est critique, et comment configurer chaque enregistrement, même sans background technique.
Pourquoi ces enregistrements sont devenus incontournables
En 2024, Google et Yahoo ont formalisé l'obligation de SPF, DKIM et DMARC pour les expéditeurs à fort volume. En pratique, même en dessous des seuils officiels, leur absence est un signal rouge pour les algorithmes de filtrage de Gmail, Outlook et Yahoo. Ces filtres analysent vos enregistrements DNS avant même de lire le contenu de votre email.
Conséquence directe : un domaine sans SPF ou DKIM valide peut voir 40 à 60% de ses emails redirigés vers le spam — même si le contenu est parfaitement légitime et personnalisé.
SPF : déclarer qui peut envoyer en votre nom
Ce que fait SPF
SPF (Sender Policy Framework) est une liste blanche de serveurs autorisés à envoyer des emails au nom de votre domaine. Quand Gmail reçoit un email prétendant venir de votre-domaine.com, il consulte l'enregistrement SPF pour vérifier si le serveur expéditeur est bien autorisé. Si ce n'est pas le cas, l'email est suspect.
Exemple d'enregistrement SPF
C'est un enregistrement TXT dans votre DNS :
v=spf1 include:_spf.google.com ~all
Ce qui se lit : "Seuls les serveurs de Google sont autorisés à envoyer des emails pour ce domaine. Pour les autres, marquer comme suspect (~all)."
Configuration pas à pas
- Identifiez tous les services qui envoient des emails en votre nom : Gmail Workspace, votre outil de prospection, Mailchimp, etc.
- Accédez à la gestion DNS de votre domaine (OVH, Namecheap, Cloudflare, Gandi…).
- Créez un enregistrement TXT à la racine de votre domaine avec le SPF correspondant.
- Vérifiez avec mxtoolbox.com/spf.aspx ou dnschecker.org.
Règle importante : vous ne pouvez avoir qu'un seul enregistrement SPF par domaine. Si vous avez plusieurs services d'envoi, combinez-les dans un seul enregistrement : v=spf1 include:_spf.google.com include:sendgrid.net ~all
DKIM : signer cryptographiquement vos emails
Ce que fait DKIM
DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque email envoyé. Cette signature prouve deux choses : l'email vient bien de votre domaine, et il n'a pas été modifié en transit. Sans DKIM, n'importe qui peut techniquement forger un email qui prétend venir de votre domaine.
Comment ça fonctionne
Votre fournisseur email génère une paire de clés cryptographiques (publique et privée). La clé privée reste sur leurs serveurs et signe chaque email sortant. La clé publique est publiée dans votre DNS. Quand Gmail reçoit l'email, il récupère la clé publique et vérifie la signature. Si elles correspondent, l'email est authentifié.
Configuration par fournisseur
- Gmail Workspace : Admin Console → Apps → Google Workspace → Gmail → Authenticate email → Générer une nouvelle clé DKIM → Ajouter l'enregistrement DNS fourni.
- Microsoft 365 / Outlook : Centre d'administration Exchange → Protection → DKIM → Activer pour votre domaine.
- OVH : Espace client → Emails → Domaine → onglet DKIM (automatique sur les offres récentes).
- Hostinger : hPanel → Email → Paramètres de messagerie → DKIM.
DMARC : la politique de sécurité globale
Ce que fait DMARC
DMARC (Domain-based Message Authentication, Reporting and Conformance) se pose au-dessus de SPF et DKIM. Il définit la politique à appliquer si un email échoue les vérifications, et vous envoie des rapports réguliers sur tous les emails envoyés en votre nom — y compris les tentatives d'usurpation.
Les trois politiques
- p=none : ne rien faire, juste envoyer des rapports. Pour commencer sans risque.
- p=quarantine : mettre en spam les emails qui échouent SPF et DKIM.
- p=reject : bloquer purement les emails non conformes. La politique la plus protectrice.
Enregistrement DMARC minimal pour commencer
v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.com
Commencez toujours par p=none pendant 2 à 4 semaines pour observer les rapports. Puis passez à p=quarantine, et enfin p=reject quand vous êtes sûr que tous vos envois légitimes passent correctement.
Vérifier sa configuration en 5 minutes
- MXToolbox (mxtoolbox.com) : vérification complète SPF, DKIM, DMARC, blacklists.
- Mail-tester.com : envoyez un email de test depuis votre sender et recevez un score de délivrabilité détaillé sur 10.
- Google Admin Toolbox : Check MX → analyse complète de la configuration de votre domaine.
Objectif : atteindre un score de 9/10 ou plus sur Mail-tester.com avant de démarrer toute campagne de prospection. En dessous de 8, corrigez d'abord les problèmes identifiés.
Les erreurs les plus courantes
- SPF sur le domaine principal, prospection depuis un sous-domaine non configuré : chaque domaine/sous-domaine nécessite sa propre configuration.
- Plusieurs enregistrements SPF sur le même domaine : un seul est valide, le reste est ignoré.
- Oublier de reconfigurer DKIM après changement de fournisseur email : la clé est liée au fournisseur.
- Passer directement à DMARC p=reject sans avoir analysé les rapports p=none : vous risquez de bloquer vos propres emails légitimes.
- Vérifier une seule fois et ne jamais remonétiser : les configurations DNS peuvent expirer ou changer.
ProspectMail et le score de délivrabilité
ProspectMail vérifie en temps réel l'état de SPF, DKIM et DMARC pour chaque sender connecté et affiche un score de délivrabilité directement dans l'interface. Si quelque chose est mal configuré, l'outil vous indique exactement ce qui manque et les étapes pour corriger — vous n'avez pas besoin de sortir de l'application pour diagnostiquer vos problèmes de délivrabilité.
Vérifiez votre délivrabilité avec ProspectMail
Score SPF/DKIM/DMARC en temps réel, corrections guidées, warm-up automatique. Accès gratuit pendant la bêta.
Demander l'accès →