Explication des méthodes d'authentification des emails : SPF, DKIM, DMARC et au-delà (Guide 2026)

L'authentification des e-mails est l'un des aspects les plus importants de la délivrabilité des e-mails, et l'un des plus mal compris.

La plupart des expéditeurs savent qu'ils ont besoin de SPF, DKIM et DMARC, mais peu comprennent vraiment le rôle de chacun, comment ils fonctionnent ensemble ou pourquoi un e-mail peut quand même finir dans les spams même lorsque les trois sont configurés.

Une partie de la confusion vient du fait que l'on considère l'authentification comme une solution de délivrabilité, alors qu'elle ne l'est pas. L'authentification aide les fournisseurs de messagerie à vérifier qui a envoyé un message et s'il est digne de confiance. Sans elle, vos e-mails peuvent être rejetés ou filtrés. Avec elle, vous remplissez simplement une condition de base.

Dans ce guide, vous découvrirez le rôle de chaque méthode d'authentification, comment elles fonctionnent ensemble, comment les configurer correctement et les erreurs courantes qui provoquent des échecs d'authentification même lorsque les enregistrements semblent correctement configurés. 

Qu'est-ce que l'authentification des e-mails ? 

L'authentification des e-mails est un ensemble de méthodes qui permettent aux fournisseurs de messagerie comme Gmail et Outlook de vérifier qu'un e-mail provient bien du domaine qu'il prétend et qu'il n'a pas été usurpé ou altéré en transit. 

Elle fonctionne grâce à des enregistrements DNS publiés par le domaine expéditeur : 

1. Le SPF liste les serveurs autorisés à envoyer des e-mails
2. Le DKIM ajoute une signature cryptographique confirmant que le message n'a pas été altéré
3. Le DMARC définit la politique qui lie les deux à l'adresse De (From) visible et indique aux destinataires quoi faire en cas d'échec d'un contrôle. 

Ensemble, ces protocoles confirment l'identité de l'expéditeur, l'un des signaux pris en compte par les fournisseurs avant de décider d'accepter, de filtrer ou de rejeter le courrier entrant.

Les 3 méthodes d'authentification des e-mails clés

L'authentification des e-mails repose sur trois protocoles qui fonctionnent ensemble pour vérifier qui envoie un e-mail et si ce message est digne de confiance. Chacun a un rôle précis, et comprendre comment ils s'articulent est essentiel pour résoudre les problèmes de délivrabilité et d'authentification.

SPF (Sender Policy Framework)

Le SPF (Sender Policy Framework) est une méthode d'authentification qui utilise un enregistrement DNS TXT pour indiquer quels serveurs et adresses IP sont autorisés à envoyer des e-mails au nom de votre domaine.

À la réception d'un e-mail, le fournisseur de messagerie consulte l'enregistrement SPF du domaine expéditeur et compare l'adresse IP du serveur d'envoi à la liste des expéditeurs autorisés. Si le serveur est autorisé, le SPF est validé. Sinon, il échoue.

Le but du SPF est de confirmer que le serveur qui envoie l'e-mail est bien autorisé à le faire pour ce domaine. Il ne vérifie ni le contenu du message, ni la réputation, ni l'engagement, ni si l'e-mail doit atterrir en boîte de réception.

DKIM (DomainKeys Identified Mail)

Le DKIM (DomainKeys Identified Mail) est une méthode d'authentification qui ajoute une signature cryptographique à vos e-mails sortants, via une paire de clés publique et privée, afin que les fournisseurs récepteurs puissent confirmer que le message a été signé par votre domaine et n'a pas été altéré en transit.

À la réception d'un e-mail, le fournisseur de messagerie consulte la clé publique publiée dans le DNS de votre domaine via un sélecteur spécifique et l'utilise pour vérifier la signature ajoutée par votre plateforme d'envoi. Si la signature est valide et le message intact, le DKIM est validé. Si les clés ne correspondent pas ou si le message a été modifié, il échoue.

Le but du DKIM est de confirmer que l'e-mail a été signé par un domaine autorisé dans la signature DKIM et que les parties signées du message n'ont pas été modifiées après l'envoi. Cela ne prouve pas en soi que l'adresse From visible correspond au domaine authentifié. Cet alignement est géré par le DMARC.

DMARC (et la question MAIL FROM vs en-tête From:)

Le DMARC (Domain-based Message Authentication, Reporting and Conformance) est une méthode d'authentification qui utilise un enregistrement DNS pour lier vos résultats SPF et DKIM au domaine de votre adresse From: visible, et pour indiquer aux fournisseurs récepteurs la marche à suivre en cas d'échec de l'authentification.

À la réception d'un e-mail, le fournisseur de messagerie vérifie si le domaine ayant validé le SPF ou le DKIM s'aligne avec le domaine de l'adresse From: que le destinataire voit réellement. S'ils s'alignent, le DMARC passe. S'ils ne s'alignent pas, le DMARC échoue et le fournisseur applique la politique que vous avez publiée : p=none (surveillance seule), p=quarantine (envoi en spam) ou p=reject (blocage du message).

Le but du DMARC est de confirmer que le domaine authentifié correspond à celui que voit votre destinataire, ce qui empêche l'usurpation de votre domaine (spoofing), et de vous donner le contrôle sur la gestion des échecs.

Vérifiez que vos enregistrements fonctionnent réellement, et pas seulement qu'ils existent.

Une recherche DNS confirme simplement qu'un enregistrement est publié. Elle ne vous dit pas si SPF et DKIM fonctionnent réellement lorsque Gmail et Outlook reçoivent votre e-mail. Le SPF Checker et le DKIM Checker gratuits de MailReach testent de bout en bout et signalent les problèmes de SPF, DKIM, DMARC, liste noire et DNS inverse dans un seul rapport.

BIMI (et pourquoi c'est optionnel pour le cold outreach B2B)

Le BIMI (Brand Indicators for Message Identification) est un standard d'e-mail qui affiche votre logo de marque vérifié à côté de vos messages dans les boîtes de réception compatibles, mais uniquement une fois que votre domaine applique DMARC.

Lorsqu'un e-mail est reçu, les fournisseurs compatibles vérifient que votre domaine applique DMARC (p=quarantine ou p=reject) et recherchent un enregistrement BIMI dans votre DNS qui pointe vers votre logo. Si ces conditions sont réunies, votre logo s'affiche à côté du message. La plupart des grands fournisseurs exigent également un certificat de marque vérifié (VMC) prouvant que vous possédez le logo avant de l'afficher.

Le but du BIMI est la reconnaissance visuelle de la marque dans la boîte de réception, et non la délivrabilité. Cela n'affecte ni la réputation de l'expéditeur, ni vos résultats d'authentification, ni l'arrivée de votre e-mail en boîte de réception. Pour le cold outreach B2B, c'est optionnel et peu prioritaire. C'est une couche de branding et non un levier de délivrabilité, donc si vous êtes un expéditeur outbound qui doit choisir où investir son temps, le BIMI se trouve tout en bas de la liste.

Comment SPF, DKIM et DMARC fonctionnent ensemble

SPF, DKIM et DMARC sont conçus pour fonctionner en chaîne, chacun résolvant une partie différente du problème d'authentification des e-mails.

• SPF vérifie que le serveur qui envoie l'e-mail est autorisé à le faire au nom du domaine. 
• DKIM vérifie que le message n'a pas été modifié après son envoi. 
• DMARC s'ajoute par-dessus les deux et vérifie si le domaine qui a validé SPF ou DKIM correspond au domaine que le destinataire voit dans l'adresse De (From:).

Un e-mail n'a pas besoin de valider à la fois SPF et DKIM pour que DMARC passe. Un seul des deux suffit, à condition qu'il corresponde au domaine visible de l'adresse De. Si aucun ne correspond, DMARC échoue, même si SPF ou DKIM ont fonctionné individuellement.

C'est pourquoi les problèmes d'authentification peuvent prêter à confusion. Un message peut valider SPF, valider DKIM et quand même échouer à DMARC si les domaines authentifiés ne correspondent pas à l'adresse De (From:). Inversement, un message peut échouer pour SPF mais réussir DMARC si DKIM est validé et s'aligne correctement.

Ensemble, ces trois standards aident les fournisseurs de messagerie à vérifier qui a envoyé l'e-mail, s'il a été modifié en transit et si l'identité de l'expéditeur est digne de confiance. Si ces trois éléments ne fonctionnent pas de concert, les fournisseurs ont moins confiance dans le message et risquent davantage de le filtrer, de l'envoyer en spam ou de le rejeter.

Exigences des fournisseurs : Google, Yahoo et Microsoft

Depuis février 2024, Google et Yahoo ont fait de l'authentification une exigence de base pour les gros envoyeurs. Ceux-ci ont besoin de SPF et DKIM, d'une politique DMARC d'au moins p=none, d'une authentification alignée, de faibles taux de plaintes pour spam et d'un processus de désabonnement fonctionnel pour les messages marketing ou par abonnement.

Microsoft a également introduit des exigences pour les gros volumes d'envoi pour les domaines qui envoient plus de 5 000 e-mails par jour vers les adresses grand public d'Outlook.com (notamment outlook.com, hotmail.com, live.com et msn.com). Ces exigences incluent la conformité à SPF, DKIM et DMARC.

La conclusion pratique est simple : même si vous n'atteignez pas techniquement les seuils de gros volume, l'authentification est devenue incontournable. Vous devez configurer correctement SPF, DKIM et DMARC avant d'intensifier tout volume d'envoi important.

Comment configurer et vérifier l'authentification des e-mails (étape par étape)

L'authentification des e-mails fonctionne mieux lorsque SPF, DKIM et DMARC sont configurés ensemble. Comme chaque protocole s'appuie sur les précédents, il est logique de les paramétrer dans un ordre précis.

Étape 1 : Identifiez vos sources d'envoi d'e-mails

Commencez par lister toutes les plateformes qui envoient des e-mails depuis votre domaine. Cela inclut généralement :

• Votre fournisseur de messagerie (Google Workspace, Microsoft 365, etc.)
• Les plateformes marketing
• Les systèmes CRM
• Les outils de cold emailing
• Les plateformes de support et helpdesk
• Les systèmes de facturation
• Toute autre application qui envoie des e-mails en votre nom

Avoir un inventaire complet permet de configurer l'authentification plus facilement et d'éviter d'oublier des expéditeurs légitimes.

Étape 2 : Configurez SPF

Publiez un enregistrement SPF dans votre DNS pour autoriser les serveurs habilités à envoyer des e-mails pour votre domaine.

Lors de la création de votre enregistrement SPF :

• Publiez un unique enregistrement TXT SPF pour le domaine
• Ajoutez chaque plateforme d'envoi légitime
• Utilisez les mécanismes d'inclusion recommandés par les fournisseurs lorsqu'ils sont disponibles
• Vérifiez l'enregistrement dès qu'un nouvel outil d'envoi est ajouté
• Maintenez l'enregistrement précis et à jour

L'enregistrement doit inclure toutes les sources d'envoi légitimes tout en restant précis et à jour au fur et à mesure que de nouveaux outils sont ajoutés.

Étape 3 : Configurer DKIM

Activez DKIM pour chaque plateforme qui envoie des e-mails en votre nom.

DKIM permet aux fournisseurs de messagerie de vérifier qu'un message n'a pas été altéré après son envoi.

Pour chaque plateforme d'e-mailing :

• Générez une paire de clés DKIM au sein de la plateforme
• Publiez la clé publique dans le DNS
• Utilisez le sélecteur fourni par le prestataire
• Activez la signature DKIM pour les e-mails sortants
• Vérifiez que les signatures DKIM sont validées sur les messages délivrés

La plupart des fournisseurs génèrent un enregistrement DKIM que vous publiez dans le DNS. Une fois configurés, les messages sortants sont signés automatiquement afin que les fournisseurs récepteurs puissent vérifier l'intégrité des messages.

Étape 4 : Configurer DMARC

Publiez un enregistrement DMARC pour définir la manière dont les fournisseurs récepteurs doivent traiter les messages qui échouent à l'authentification.

Commencez par :

• Un enregistrement DMARC publié sur _dmarc.votredomaine.com
• Une politique de surveillance (p=none)
• Une adresse de rapport global (rua=)
• Des examens réguliers des rapports DMARC

Avant de passer à l'application stricte :

• Confirmez que tous les expéditeurs légitimes sont authentifiés
• Résolvez les échecs d'alignement
• Validez les résultats SPF et DKIM sur l'ensemble des plateformes d'envoi

La plupart des organisations commencent par une politique de surveillance (p=none) pour analyser les résultats d'authentification avant de basculer vers des politiques plus strictes telles que p=quarantine ou p=reject.

Étape 5 : Vérifier les résultats de l'authentification

Une fois la configuration terminée, vérifiez que le SPF, le DKIM et le DMARC passent bien sur les messages délivrés.

Vérifiez que :

• Le SPF est validé sur les messages délivrés
• Le DKIM est validé sur les messages délivrés
• Le DMARC est validé et s'aligne correctement
• L'authentification reste correcte après l'ajout de nouveaux outils ou fournisseurs

Un enregistrement DNS confirme seulement que la configuration existe. La vérification confirme que les fournisseurs de boîtes mail peuvent authentifier vos e-mails avec succès dans de vraies conditions de réception.

Vérifier dans le DNS n'est pas la même chose que vérifier dans la boîte de réception.

C'est l'étape que la plupart des expéditeurs oublient. Le test de délivrabilité gratuit de MailReach envoie votre e-mail pour le tester dans des boîtes de réception sur Google, Microsoft et Yahoo, puis vous montre où il atterrit : boîte de réception, spam ou dossiers filtrés spécifiques comme les Promos Gmail. Vous obtenez également les résultats SPF, DKIM et DMARC du message reçu, ainsi qu'une liste prioritaire de ce qu'il faut corriger en premier.

Erreurs courantes d'authentification des e-mails (et comment les corriger)

La plupart des échecs d'authentification des e-mails sont causés par de petites erreurs de configuration qui passent inaperçues jusqu'à ce que les e-mails finissent dans les spams, échouent aux contrôles d'authentification ou soient complètement rejetés.

Les erreurs ci-dessous sont celles que les expéditeurs rencontrent le plus souvent. Comprendre comment elles se produisent les rend beaucoup plus faciles à identifier, dépanner et prévenir avant qu'elles n'affectent votre délivrabilité.

L'enregistrement SPF dépasse la limite de 10 requêtes

Le SPF autorise un maximum de 10 requêtes DNS. Chaque plateforme d'e-mailing que vous autorisez via une instruction include: consomme une partie de cette limite. Au fur et à mesure que de nouveaux outils sont ajoutés, il est facile de dépasser le plafond sans s'en rendre compte.

Lorsque la limite est dépassée, les fournisseurs de boîtes mail ne peuvent plus évaluer complètement l'enregistrement SPF, ce qui provoque des échecs des contrôles SPF même si l'enregistrement existe toujours dans le DNS.

Comment résoudre ce problème :

• Auditez chaque plateforme qui envoie actuellement des e-mails pour votre domaine.
• Supprimez les instructions include: obsolètes ou inutilisées.
• Consolidez les services d'envoi qui se chevauchent lorsque c'est possible.
• Surveillez le nombre de requêtes à chaque ajout d'un nouvel outil d'envoi.
• Testez le SPF après chaque modification pour confirmer qu'il passe toujours.

Absence d'enregistrements DKIM pour les nouvelles plateformes d'envoi

Le DKIM est configuré séparément pour chaque plateforme d'envoi. Un enregistrement DKIM qui fonctionne pour Google Workspace n'authentifie pas automatiquement les e-mails envoyés via votre CRM, votre plateforme de prospection, votre système de facturation ou votre service client.

Cela se produit souvent lorsqu'un nouvel outil est connecté et commence à envoyer immédiatement, mais que sa configuration DKIM n'est jamais finalisée. Certains e-mails passent l'authentification tandis que d'autres échouent, rendant le problème difficile à repérer.

Comment résoudre ce problème :

• Créez un enregistrement DKIM pour chaque plateforme d'envoi qui utilise votre domaine.
• Publiez le sélecteur exact et la clé publique fournis par chaque plateforme.
• Vérifiez le DKIM après la configuration plutôt que de supposer que l'enregistrement fonctionne.
• Tenez un inventaire de tous les systèmes d'envoi et de leurs sélecteurs DKIM.
• Revérifiez le DKIM chaque fois qu'un fournisseur renouvelle ou met à jour ses clés.

Publier un enregistrement DMARC sans vérifier l'alignement

DMARC ne valide que si le SPF ou le DKIM s'aligne avec le domaine de l'adresse From: visible.

Un enregistrement peut exister dans le DNS tout en échouant à DMARC si le domaine authentifié ne correspond pas au domaine vu par les destinataires.

Comment résoudre ce problème :

• Confirmez que le SPF s'aligne avec le domaine From: visible.
• Confirmez que le DKIM signe en utilisant le même domaine que celui affiché dans l'en-tête From:.
• Consultez les rapports DMARC pour identifier les échecs d'alignement.
• Testez de vrais e-mails pour vérifier que DMARC passe lors de la livraison.
• Réglez les problèmes d'alignement avant de passer à p=none.

Passer à p=Reject trop tôt

L'application de DMARC est conçue pour être progressive. Passer directement à p=reject sans identifier chaque source d'envoi légitime peut bloquer les vrais e-mails de l'entreprise.

Le problème survient généralement lorsque des outils oubliés, des systèmes tiers ou des applications internes envoient encore des e-mails qui n'ont pas été correctement authentifiés.

Comment résoudre ce problème :

• Commencez par p=none et récupérez les rapports DMARC.
• Identifiez chaque système qui envoie des e-mails sous votre domaine.
• Réglez d'abord les échecs d'authentification et d'alignement.
• Optez pour p=quarantine ou un déploiement progressif avant p=reject si vous souhaitez une transition plus sûre.
• Appliquez le rejet uniquement après qu'un suivi constant a confirmé que tout le courrier légitime passe.

Se fier uniquement aux vérifications DNS

Une recherche DNS confirme seulement qu'un enregistrement existe. Elle ne prouve pas que les fournisseurs de messagerie authentifient vos e-mails avec succès lorsqu'ils les reçoivent.

Cela crée un faux sentiment de sécurité. Tout semble correct dans le DNS alors que les messages continuent d'atterrir dans les spams ou d'échouer aux tests d'authentification lors de la livraison.

Comment résoudre ce problème :

• Envoyez des e-mails de test vers des boîtes de réception Gmail et Outlook.
• Vérifiez les résultats SPF, DKIM et DMARC dans le message reçu.
• Faites des tests après chaque modification de votre DNS ou de votre plateforme d'envoi.
• Surveillez régulièrement les résultats d'authentification, pas seulement lors de la configuration.
• Utilisez le placement en boîte de réception et les tests d'authentification pour valider les performances réelles.

Utiliser un sous-domaine pour le cold emailing

De nombreux expéditeurs utilisent un sous-domaine pour la prospection à froid en pensant que cela isole complètement les risques. Bien que cette séparation aide sur le plan opérationnel, les fournisseurs de messagerie peuvent toujours associer les sous-domaines au domaine principal.

Si la prospection génère des plaintes ou un faible engagement, les signaux de réputation peuvent affecter d'autres e-mails associés à la marque.

Comment résoudre ce problème :

• Utilisez un domaine secondaire distinct pour la prospection à froid plutôt que votre domaine professionnel principal. Gardez-le propre : évitez les tirets, les chiffres et les extensions exotiques, et authentifiez-le de manière indépendante avant d'envoyer.
• Authentifiez le domaine secondaire de manière indépendante.
• Warmez le domaine de prospection avant d'augmenter le volume.
• Séparez le trafic marketing, transactionnel et de prospection.
• Protégez votre domaine professionnel principal contre les risques de réputation inutiles.

Chasser les blacklists au lieu de réparer sa réputation

L'inscription sur une liste noire a souvent de quoi inquiéter, mais la plupart des listes noires publiques ont peu d'influence sur le placement dans les boîtes de réception de Gmail et Outlook. Les fournisseurs de messagerie modernes s'appuient principalement sur leurs propres systèmes de réputation, les signaux d'engagement et les données sur les plaintes.

Beaucoup d'expéditeurs passent des jours à enquêter sur des entrées en liste noire alors que le vrai problème vient d'une mauvaise réputation d'expéditeur.

Comment résoudre ce problème :

• Vérifiez si la liste noire en question est réellement utilisée par les principaux fournisseurs de messagerie.
• Concentrez-vous d'abord sur les taux de plaintes, l'engagement et la qualité de vos listes.
• Améliorez votre authentification et vos pratiques d'envoi.
• Surveillez le placement en boîte de réception plutôt que le simple statut sur les listes noires.
• Considérez les vérifications de listes noires comme un signal de diagnostic, et non comme la principale métrique de délivrabilité.

Authentification des e-mails vs Placement en boîte de réception

Les fournisseurs de messagerie considèrent de plus en plus l'authentification comme une exigence de base plutôt que comme un signal de confiance. À mesure que les systèmes de filtrage se perfectionnent, l'écart entre les e-mails authentifiés et ceux qui arrivent en boîte de réception ne cesse de se creuser. Les fournisseurs accordent plus d'attention que jamais à la réputation, à l'engagement, à la régularité et au comportement d'envoi.

C'est pourquoi les expéditeurs les plus performants considèrent l'authentification des e-mails comme un processus de délivrabilité continu. Chaque nouvelle plateforme d'envoi, changement de domaine, outil marketing ou campagne de prospection crée une nouvelle occasion pour l'authentification de se dérégler sans que personne ne s'en aperçoive.

L'étape suivante consiste à vérifier en continu qu'ils fonctionnent toujours dans de réelles conditions de réception et à détecter les problèmes avant les fournisseurs de messagerie.

Chaque nouvel outil, domaine ou campagne est l'occasion pour SPF, DKIM ou DMARC de se dérégler discrètement. Lancez un test de délivrabilité MailReach gratuit pour voir où atterrissent vos e-mails aujourd'hui, et associez-le à un email warmup pour bâtir la réputation d'expéditeur que l'authentification seule ne peut pas garantir.

FAQ

Quelles sont les trois principales méthodes d'authentification des e-mails ? 

SPF, DKIM et DMARC. Le SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine, le DKIM ajoute une signature prouvant que le message n'a pas été altéré, et le DMARC lie les deux à votre domaine visible (From:) tout en indiquant aux destinataires quoi faire en cas d'échec.

Ai-je besoin de DMARC si j'envoie uniquement depuis Google Workspace ? 

Oui. C'est recommandé pour tout expéditeur et obligatoire pour les envois en volume. Google Workspace est la plateforme depuis laquelle vous envoyez ; publier une politique DMARC relève de votre responsabilité, ce n'est pas géré automatiquement par Workspace. 

Quelle est la différence entre SPF, DKIM et DMARC ? 

Le SPF autorise les serveurs d'envoi. Le DKIM signe le message pour que les destinataires puissent vérifier qu'il n'a pas été altéré. Le DMARC définit la politique et exige une cohérence entre ce qui a été validé et le domaine d'expédition (From:) visible par votre destinataire.

Combien de temps dois-je rester à p=none avant de passer à p=reject ? 

Restez à p=none jusqu'à ce que les rapports DMARC montrent que tous les systèmes légitimes envoyant au nom de votre domaine sont pris en compte. Passer trop tôt comporte le risque de bloquer de vrais e-mails de l'entreprise.

L'authentification des e-mails améliore-t-elle la délivrabilité ? 

C'est indispensable pour concourir et vous ne pouvez pas atteindre la boîte de réception sans elle, mais cela n'améliore pas le placement en soi. Ce sont la réputation et le contenu qui s'en chargent. L'authentification ouvre la porte ; la réputation et le contenu font gagner la boîte de réception.