Une entreprise peut envoyer des devis, des confirmations ou des lettres d’information sans se demander comment les serveurs de messagerie vérifient son identité. Pourtant, un domaine mal configuré peut susciter la méfiance des services de réception et compliquer la distribution des messages. L’authentification des e-mails repose principalement sur trois mécanismes : SPF, DKIM et DMARC. Leur mise en place demande un peu d’attention dans la zone DNS du domaine, mais elle aide à distinguer les envois légitimes des messages qui usurpent votre adresse.
SPF indique quels serveurs sont autorisés à envoyer des messages pour votre domaine. Cette règle est publiée dans un enregistrement DNS et doit tenir compte de tous les services utilisés : messagerie professionnelle, outil de facturation, plateforme de newsletter ou solution de prospection. Avant toute modification, recensez ces expéditeurs et consultez leurs instructions de configuration. Un oubli peut entraîner l’échec de vérifications pour un service pourtant utilisé par l’équipe. Veillez également à ne pas créer plusieurs enregistrements SPF pour le même domaine : si vous devez ajouter un service, la règle existante doit généralement être ajustée selon les consignes de votre fournisseur.
DKIM complète ce contrôle en ajoutant une signature numérique à chaque message envoyé par un service configuré. Le serveur destinataire peut vérifier cette signature à l’aide d’une clé publique publiée dans le DNS. En pratique, l’outil d’envoi fournit les valeurs à ajouter, souvent sous la forme d’un nom d’hôte et d’une clé. Cette étape concerne chaque plateforme susceptible d’envoyer des e-mails avec votre domaine. Après la publication des paramètres, envoyez un message de test vers une boîte que vous pouvez consulter et vérifiez que la signature DKIM passe bien le contrôle. Si vous changez de prestataire, pensez à retirer ou à renouveler les paramètres devenus inutiles.
DMARC s’appuie sur SPF et DKIM pour préciser comment traiter les messages qui ne passent pas les contrôles ou dont l’identité ne correspond pas au domaine visible dans le champ expéditeur. Il peut aussi permettre de recevoir des rapports sur les sources d’envoi détectées. Une approche prudente consiste à commencer par une politique de surveillance, puis à examiner les rapports pour repérer les services légitimes qui n’ont pas été configurés. Une politique plus stricte, qui demande de placer certains messages en quarantaine ou de les rejeter, se définit seulement après cette vérification. Les rapports peuvent être techniques et volumineux : utilisez une solution de lecture adaptée ou demandez l’aide de votre prestataire avant de modifier la politique.
Pour une petite structure, le principal risque est de changer les enregistrements DNS sans connaître les dépendances existantes. Faites d’abord l’inventaire des adresses et des plateformes d’envoi, puis sauvegardez la configuration actuelle. Procédez service par service, en suivant les indications de chaque fournisseur, et testez l’envoi après chaque changement important. Si une agence ou un informaticien gère votre domaine, demandez-lui qui contrôle les accès DNS et comment les modifications sont validées. Gardez une trace des réglages et des services concernés : elle facilitera les futurs changements d’outil ou l’arrivée d’un nouveau collaborateur.
SPF, DKIM et DMARC ne garantissent pas qu’un e-mail arrivera dans la boîte de réception : la réputation du domaine, le contenu et les habitudes des destinataires comptent aussi. Ils fournissent toutefois des preuves techniques utiles sur l’origine des messages et réduisent les risques d’usurpation. En procédant progressivement, une TPE peut sécuriser ses envois sans interrompre ses échanges commerciaux. L’indicateur clé reste simple : chaque service qui envoie au nom de votre domaine est identifié, configuré et vérifié.
