Dans cet article, vous découvrirez :
- À quoi servent SPF, DKIM et DMARC et comment ils fonctionnent
- Comment configurer ces mécanismes
- Problèmes courants
- Foire aux questions
SPF, DKIM et DMARC
SPF, DKIM et DMARC sont des mesures de protection contre les e-mails frauduleux. Si vous ne les utilisez pas ou s’ils ne sont pas correctement configurés, vous augmentez le risque que le système du destinataire classe votre message comme spam, ou qu’il refuse votre e-mail et vous le renvoie comme non distribuable.
- SPF (Sender Policy Framework) est un système d’authentification des e-mails qui permet aux propriétaires de domaines de définir, au moyen d’un enregistrement DNS spécifique, quels serveurs sont autorisés à envoyer des e-mails au nom de leur domaine. Les destinataires peuvent ensuite vérifier les enregistrements SPF et décider d’accepter ou de rejeter l’e-mail, ou de le traiter autrement.
- DKIM (DomainKeys Identified Mail) est une méthode qui permet à l’organisation responsable de l’envoi d’un e-mail d’ajouter une signature numérique au message. Les destinataires peuvent vérifier cette signature et confirmer ainsi que l’e-mail n’a pas été modifié après son envoi et qu’il provient d’une source légitime.
- DMARC (Domain-based Message Authentication, Reporting, and Conformance) est une politique d’authentification des e-mails et un protocole de rapports qui aide à protéger les domaines de messagerie contre les abus tels que le phishing et le spoofing. DMARC s’appuie sur SPF et DKIM pour vérifier que les e-mails envoyés sont légitimes et définit comment le destinataire doit traiter les e-mails qui échouent à cette vérification. Il se configure au moyen d’un enregistrement DNS spécial.
Configuration des mécanismes d’authentification des e-mails
Pour garantir une distribution optimale de votre courrier, configurez tous les mécanismes de protection mentionnés. Chaque fois que vous changez de prestataire ou que vous en ajoutez un (par exemple, si vous utilisez en plus de notre messagerie un service d’envoi d’e-mails en masse), assurez-vous d’intégrer correctement, en particulier, le SPF en suivant le manuel de ce prestataire.
Configuration de l’enregistrement SPF
L’enregistrement SPF indique les serveurs autorisés à envoyer du courrier au nom du domaine ou du sous-domaine pour lequel il est défini. Vous trouverez un guide détaillé sur la configuration des enregistrements DNS dans l’article DNS – Enregistrements du domaine.
Configurez au maximum 1 enregistrement SPF par domaine. Si vous indiquez plusieurs enregistrements, la vérification SPF ne fonctionnera plus.
Si vous utilisez exclusivement les services VEDOS (Webhosting, WebSite, Mailhosting) pour envoyer des e-mails, sans la protection WEDOS Protection ⧉, configurez l’enregistrement SPF :
Name TTL Type Data (vide) 300 TXT v=spf1 mx a include:_spf.we.wedos.net -all
Si vous utilisez exclusivement un autre prestataire de messagerie, utilisez le SPF conformément à son guide. Si vous devez indiquer plusieurs prestataires ou si vous rencontrez des problèmes avec le SPF, suivez l’article E-mail – Enregistrement SPF.
Configuration de DKIM
L’authentification des e-mails par DKIM est entièrement gérée de notre côté.
Pour authentifier les messages envoyés depuis un hébergement web via la fonction PHP mail(), nous utilisons les enregistrements DNS suivants, que nous générons en principe automatiquement sur nos serveurs :
Name TTL Type Data key1.wedos-dkim._domainkey 300 CNAME key1.dkim-we.wedos.net key2.wedos-dkim._domainkey 300 CNAME key2.dkim-we.wedos.net
Si vous utilisez un DNS externe, ou si, pour une raison quelconque, votre domaine pointant vers notre Webhosting ne comporte pas ces enregistrements, ajoutez-les. Pour que ces enregistrements fonctionnent correctement, veillez également à configurer correctement le paramètre return-path.
Les e-mails envoyés via SMTP sont authentifiés à l’aide d’une clé DKIM partagée à l’adresse shared.dkim-wes1.wedos.net. Cette configuration est automatique : vous n’avez pas besoin de l’activer, mais vous ne pouvez pas non plus la désactiver.
Configuration de DMARC
L’enregistrement DMARC de base, qui améliore la distribution des e-mails, a la forme suivante :
Name TTL Type Data _dmarc 300 TXT v=DMARC1; p=none; rua=mailto:votre-email@domaine.tld
où votre-email@domaine.tld doit être remplacé par l’adresse e-mail à laquelle vous souhaitez recevoir les éventuels rapports agrégés.
Problèmes courants
Parmi les problèmes courants figurent :
- Spam persistant ou courrier non distribué
- SPF, DKIM et DMARC non fonctionnels lors de l’envoi avec la fonction mail() depuis un hébergement web
- Affichage d’un message indiquant un envoi via le domaine shared.dkim-wes1.wedos.net
- DMARC incompatible
Le courrier avec SPF, DKIM et DMARC n’est pas distribué
Problème : Bien que SPF, DKIM et DMARC soient configurés, le courrier finit dans les spams ou n’est pas distribué du tout.
Solution : Vérifiez que tous les enregistrements sont correctement configurés et propagés (les modifications des enregistrements DNS peuvent prendre 30 à 60 minutes, voire plus). L’erreur la plus courante consiste à avoir plusieurs enregistrements SPF pour un même domaine et à placer les données de l’enregistrement entre guillemets.
Si vous soupçonnez un blocage des e-mails par l’expéditeur ou par le destinataire, suivez le guide Email – Blocage.
Envoi via la fonction mail()
Problème : Lors de l’envoi au moyen de la fonction mail() sur un hébergement web, SPF, DKIM et DMARC échouent.
Cause : Dans la configuration par défaut de la fonction mail(), l’expéditeur de ces e-mails est le serveur d’hébergement web, par exemple hcX-wdXXX.wedos.net, auquel les enregistrements que vous avez configurés ne s’appliquent pas.
Solution : Dans la fonction mail(), définissez un return-path contenant une adresse de votre domaine en suivant ce guide.
Via le domaine shared.dkim-wes1.wedos.net
Problème : Le destinataire du message voit s’afficher un message indésirable indiquant un envoi via le domaine shared.dkim-wes1.wedos.net.
Solution : Assurez-vous que l’enregistrement SPF est correctement configuré et propagé. Si c’est le cas, ce message ne devrait plus s’afficher.
DMARC incompatible
Problème : La configuration avancée de DMARC signale les messages comme problématiques.
Cause : Pour les e-mails envoyés via shared.dkim-wes1.wedos.net l’alignement DKIM ne fonctionne pas correctement.
Solution : Assurez-vous de disposer d’un SPF valide et, le cas échéant, ajustez les paramètres de l’enregistrement DMARC.
Foire aux questions
Tout cela est-il vraiment nécessaire ?
Si vous voulez que vos e-mails soient dignes de confiance, oui. Les prestataires appliquent des règles différentes en matière de spam et de rejet des e-mails, mais SPF et DKIM au minimum sont essentiels pour garantir une distribution fiable.
Pouvez-vous le configurer pour moi ?
Les enregistrements DNS DKIM peuvent être configurés automatiquement en faisant pointer le domaine vers l’hébergement selon ce guide. Nous ne configurons généralement pas les enregistrements SPF et DMARC, car nous ne disposons pas de suffisamment d’informations sur les services de messagerie que vous utilisez, dont une configuration incorrecte risquerait de compromettre le fonctionnement. Nous pouvons configurer pour vous les enregistrements de base présentés dans ce guide, mais il s’agit d’un service payant selon le tarif.
Comment m’y retrouver dans les rapports DMARC ?
Vous trouverez les bases de la lecture des rapports DMARC, par exemple, dans notre guide communautaire ⧉.