Configurer SPF, DKIM et DMARC : pour que vos e-mails de formulaire et professionnels arrivent bien

Si vos e-mails professionnels ou les notifications de leads de votre site finissent en spam, la cause vient presque toujours d’une authentification e-mail absente ou incorrecte. SPF, DKIM et DMARC sont trois petits enregistrements DNS qui prouvent aux serveurs de messagerie destinataires, comme ceux de Gmail et d’Outlook, qu’un e-mail provient réellement de votre domaine et non de quelqu’un qui se fait passer pour vous. S’ils sont absents ou erronés, vos e-mails sont considérés comme suspects. Dans cet article, nous expliquons ce que fait chaque enregistrement, pourquoi ils sont essentiels pour votre flux de leads, et comment les mettre en place sans être un expert en messagerie.

Pourquoi mes e-mails professionnels et mes notifications de leads finissent-ils en spam ?

La version courte : parce que le serveur destinataire ne peut pas vérifier que l’e-mail vient vraiment de vous. Aujourd’hui, les serveurs de messagerie ne font par défaut confiance à rien. Chaque e-mail entrant est évalué selon d’innombrables signaux, et l’authentification est l’un des plus lourds. Un e-mail provenant d’un domaine sans SPF, DKIM et DMARC ressemble, pour un destinataire, à une lettre sans expéditeur et sans cachet : peut-être authentique, peut-être pas, alors dans le doute, direction le dossier spam.

Le plus douloureux, c’est que cela se produit souvent sans qu’on le remarque, précisément sur les e-mails qui rapportent le plus : les notifications que votre site envoie. La délivrabilité des e-mails fait d’ailleurs partie des bases techniques d’un site web B2B qui génère des leads, au même titre que la vitesse, la structure et la visibilité. Concrètement, il s’agit de l’alerte que vous recevez lorsque quelqu’un remplit un formulaire de contact ou de devis. De nombreux sites l’envoient au nom de votre propre domaine, mais via un serveur de messagerie que votre domaine n’a jamais reconnu comme expéditeur valide. Résultat : un prospect remplit soigneusement votre formulaire, mais la notification atterrit en spam ou n’arrive jamais, et vous ne savez même pas que vous avez raté ce lead. Un formulaire techniquement parfait dont l’alerte n’arrive jamais reste une fuite dans votre optimisation de formulaire.

Que fait exactement un enregistrement SPF ?

Le SPF (Sender Policy Framework) est un enregistrement DNS qui énumère quels serveurs sont autorisés à envoyer des e-mails au nom de votre domaine. C’est en réalité une liste d’invités à la porte. Lorsqu’un e-mail arrive, le serveur destinataire regarde quel serveur l’a envoyé et vérifie s’il figure sur votre liste SPF. S’il y figure, le contrôle SPF réussit. S’il n’y figure pas, c’est un signal fort que l’e-mail est falsifié.

En pratique, un enregistrement SPF est un enregistrement TXT dans votre DNS qui ressemble à v=spf1 include:_spf.google.com ~all. Chaque acteur qui envoie des e-mails en votre nom, votre fournisseur de messagerie, votre logiciel de newsletter, le système derrière vos formulaires de site, doit y être inclus. C’est justement l’erreur la plus fréquente : les entreprises y mettent leur fournisseur de messagerie, mais oublient l’outil qui envoie leurs notifications de formulaire ou leurs factures. Ces e-mails échouent alors silencieusement au contrôle.

Important à savoir : le SPF regarde l’adresse d’expéditeur technique, pas ce que voit le destinataire. C’est pourquoi le SPF ne suffit pas à lui seul, et c’est pour cela que DKIM et DMARC existent.

Que fait DKIM et pourquoi en avez-vous besoin en plus du SPF ?

Le DKIM (DomainKeys Identified Mail) appose une signature numérique sur chaque e-mail que vous envoyez, afin que le destinataire puisse vérifier que le contenu n’a pas été modifié en chemin et qu’il provient bien de votre domaine. Là où le SPF vérifie le serveur expéditeur, le DKIM prouve l’authenticité de l’e-mail lui-même.

Il fonctionne avec une paire de clés. Votre serveur de messagerie signe les e-mails sortants avec une clé secrète. La clé publique correspondante, vous la publiez sous forme d’enregistrement DNS. Le destinataire récupère cette clé publique, vérifie la signature, et sait ainsi si l’e-mail est authentique et inchangé. Vous n’avez pas besoin de comprendre la cryptographie pour l’utiliser : dans la plupart des plateformes de messagerie, vous générez la clé en quelques clics et collez la valeur fournie dans votre DNS.

SPF et DKIM ensemble couvrent deux risques différents, et c’est pour cela que vous voulez les deux. Un e-mail qui passe par une liste de diffusion ou un service de redirection peut casser le SPF mais conserver le DKIM, ou l’inverse. Avec les deux enregistrements en place, il reste presque toujours au moins une preuve valide que l’e-mail vient bien de vous.

Que fait DMARC et que signifient p=none, quarantine ou reject ?

Le DMARC (Domain-based Message Authentication, Reporting and Conformance) est la clé de voûte : il indique aux serveurs destinataires ce qu’ils doivent faire lorsque le SPF ou le DKIM échoue, et il vous envoie des rapports sur qui envoie des e-mails au nom de votre domaine. Sans DMARC, SPF et DKIM sont des contrôles isolés sans instruction claire sur ce qu’il faut faire en cas de doute.

Un enregistrement DMARC se publie sous forme d’enregistrement TXT sur _dmarc.votredomaine.be. L’élément le plus important est votre politique, la partie p=, qui connaît trois positions :

• p=none : surveillance. Rien n’arrive aux e-mails en échec, mais vous recevez bien des rapports. C’est la position de départ sûre pour voir tout ce qui est envoyé au nom de votre domaine.
• p=quarantine : les e-mails en échec vont dans le dossier spam.
• p=reject : les e-mails en échec sont complètement refusés. C’est la position la plus stricte et la meilleure contre l’usurpation de votre nom de domaine, mais vous ne l’activez qu’une fois certain que tous vos expéditeurs légitimes sont correctement authentifiés.

Le DMARC ajoute aussi la notion d’alignement (alignment) : le domaine que le destinataire voit dans l’adresse De doit correspondre au domaine couvert par le SPF ou le DKIM. C’est précisément ce que les usurpateurs ne peuvent pas falsifier, et c’est la raison pour laquelle le DMARC offre une protection que SPF et DKIM seuls ne donnent pas.

L’approche recommandée est progressive : commencez sur p=none, lisez les rapports pendant quelques semaines, réparez chaque expéditeur qui échoue encore, puis passez ensuite seulement à quarantine et finalement reject. Passer trop vite à reject peut bloquer des e-mails légitimes.

Est-ce obligatoire ou simplement un plus ?

Pour ceux qui envoient beaucoup d’e-mails, c’est désormais une condition ferme. Depuis début 2024, Gmail et Yahoo exigent des expéditeurs qui envoient de gros volumes vers leurs utilisateurs, de l’ordre de milliers d’e-mails par jour, que le SPF et le DKIM soient corrects, qu’un enregistrement DMARC soit présent avec au moins p=none, et qu’un lien de désinscription fonctionnel figure dans les e-mails marketing. Gmail a durci l’application de ces règles au cours de 2025, en refusant plus souvent les e-mails non conformes plutôt que de simplement les marquer comme spam.

Si vous n’envoyez pas de grandes newsletters, vous ne tombez pas, strictement parlant, sous ce seuil. Mais la logique sous-jacente vaut pour tout le monde : les mêmes filtres antispam qui évaluent les expéditeurs en masse évaluent aussi votre e-mail de devis et votre notification de formulaire. Une bonne authentification n’est donc pas une règle à part pour les grands acteurs, mais l’hygiène de base qui détermine si votre e-mail professionnel quotidien arrive tout simplement à destination. Pour une entreprise B2B qui dépend des leads via le site web, ce n’est pas un détail.

Comment configurer SPF, DKIM et DMARC ?

Dans les grandes lignes, vous suivez quatre étapes, toutes dans la gestion DNS de votre domaine :

1. Inventoriez vos expéditeurs. Dressez la liste de tout ce qui envoie des e-mails au nom de votre domaine : votre fournisseur de messagerie, votre outil de newsletter, votre logiciel de facturation et le système derrière vos formulaires de contact. C’est l’étape que la plupart des gens sautent et qui cause le plus de problèmes.
2. Mettez en place le SPF. Un seul enregistrement TXT qui énumère tous ces expéditeurs via des règles include. Attention : vous ne pouvez avoir qu’un seul enregistrement SPF par domaine, donc tout est combiné dans cet unique enregistrement.
3. Mettez en place le DKIM. Activez le DKIM dans chaque plateforme de messagerie que vous utilisez et publiez les clés publiques correspondantes sous forme d’enregistrements DNS. Chaque plateforme fournit cette valeur clé en main.
4. Mettez en place le DMARC. Publiez un enregistrement DMARC sur _dmarc.votredomaine.be, démarrez sur p=none avec une adresse de rapport, et construisez la politique étape par étape.

Ensuite, vous vérifiez le résultat. Envoyez un e-mail de test vers une adresse Gmail et consultez les détails du message, ou utilisez un outil de vérification en ligne gratuit pour voir si les trois contrôles réussissent. Les modifications DNS peuvent prendre jusqu’à plusieurs heures avant d’être visibles partout, alors ne vous attendez pas à ce que tout passe au vert immédiatement.

Le résumé en bref

SPF, DKIM et DMARC sont ensemble la preuve qu’un e-mail provient réellement de votre domaine. Le SPF vérifie le serveur expéditeur, le DKIM signe l’e-mail lui-même, et le DMARC détermine ce qui se passe en cas de doute et rapporte qui envoie des e-mails en votre nom. Sans ce trio, vos e-mails professionnels sont considérés comme suspects et ce sont surtout vos notifications de formulaire et de leads qui fuient en spam, précisément les e-mails qui rapportent le plus. Commencez par cartographier vos expéditeurs, mettez en place les trois enregistrements, et construisez tranquillement votre politique DMARC de la surveillance à l’application.

Nous ne considérons pas la délivrabilité des e-mails comme une tâche IT isolée, mais comme une partie d’un site web qui capte des leads de manière fiable : un formulaire n’est terminé que lorsque l’alerte atterrit vraiment dans votre boîte de réception. Vous voulez avoir la certitude qu’aucun lead ne se perd entre votre site et votre messagerie ? Planifiez votre intake gratuit.