Que prouvent SPF, DKIM et DMARC ?
SPF (Sender Policy Framework) est un enregistrement DNS qui liste les serveurs autorisés à envoyer des e-mails pour votre domaine ; le serveur de réception y confronte le serveur émetteur. DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque message, vérifiée via une clé publique publiée dans votre DNS — la preuve que le contenu n'a pas été modifié en transit. DMARC (défini par la RFC 7489) chapeaute l'ensemble : il indique aux serveurs de réception quoi faire quand aucune des deux vérifications ne passe pour le domaine From visible — surveiller, mettre en quarantaine ou rejeter — et vous envoie des rapports sur qui envoie en votre nom.
Comment fonctionne l'alignement DMARC ?
Un message peut passer SPF et DKIM et échouer quand même à DMARC. L'alignement est la pièce manquante : le domaine du champ From visible doit correspondre au domaine validé par SPF (le Return-Path) ou au domaine signataire DKIM (le tag d=). En mode relaxed, un sous-domaine suffit ; en mode strict, les domaines doivent être identiques. C'est l'alignement qui bloque réellement l'usurpation — sans lui, un spammeur pourrait passer SPF sur son propre domaine tout en affichant le vôtre.
Qu'exigent Gmail et Yahoo des expéditeurs en masse ?
Depuis février 2024, les règles pour expéditeurs de Google imposent SPF ou DKIM à tout expéditeur, et les trois — SPF, DKIM et une politique DMARC (p=none suffit pour démarrer) avec un domaine From aligné — à quiconque envoie 5 000 messages ou plus par jour vers des comptes Gmail. Yahoo applique des règles équivalentes. Sans cela, le courrier est rejeté ou ralenti, quel que soit son contenu. Pour une petite équipe, c'est une après-midi d'enregistrements DNS — à faire avant d'avoir besoin du volume.
L'authentification garantit-elle le placement en boîte de réception ?
Non. L'authentification prouve qui a envoyé le message, pas si quelqu'un le veut — les spammeurs publient aussi des enregistrements SPF parfaits. Le placement en boîte de réception dépend aussi de la réputation de l'expéditeur, de l'engagement, de l'hygiène de la liste, et de la gestion des bounces et de votre liste de suppression. Considérez SPF, DKIM et DMARC comme le ticket d'entrée, puis travaillez le reste — notre guide sur la délivrabilité e-mail pour startups couvre le warmup, la réputation et le suivi.