Courriels à son nom de domaine : SPF, DKIM et DMARC pour que les devis n'arrivent plus en indésirables

Domaine, hébergement & sécurité · Par la rédaction de Enseigne & Écran · Publié le 2026-10-29

Mains tenant un smartphone allumé dans la pénombre — Un devis envoyé est souvent lu sur un téléphone, s'il n'a pas été classé en indésirable. Photographie de Gilles Lambert, CC0.

« Je n'ai jamais reçu votre devis. » Quand cette phrase revient, le problème n'est pas toujours le client distrait. Les messageries trient chaque jour des milliards de courriels et écartent ceux dont elles ne peuvent pas vérifier l'expéditeur. Une entreprise qui écrit depuis son propre nom de domaine sans avoir fait trois réglages techniques, appelés SPF, DKIM et DMARC, ressemble, pour ces filtres, à un fraudeur qui se ferait passer pour elle. Bonne nouvelle : ces réglages se font une fois, et votre prestataire ou votre hébergeur de messagerie peut les installer en quelques minutes.

Pourquoi une adresse à son nom

Beaucoup d'artisans utilisent encore l'adresse fournie avec leur abonnement internet ou une messagerie gratuite. Elle fonctionne, mais elle a deux défauts. Elle donne une image moins professionnelle sur un devis ou une carte de visite. Surtout, elle ne vous appartient pas : en cas de changement de fournisseur d'accès, la loi oblige seulement celui-ci à vous permettre de consulter gratuitement les courriels reçus sur cette adresse pendant six mois après la résiliation. Une adresse construite sur votre nom de domaine, elle, reste la vôtre tant que vous renouvelez le nom ; vous pouvez changer de service de messagerie sans changer d'adresse. Encore faut-il que le nom soit enregistré au nom de l'entreprise, comme nous l'expliquons dans notre article sur le nom de domaine.

Le revers est que, pour les messageries de vos clients, un courriel venant de votre domaine n'est crédible que si le domaine lui-même dit « oui, ce message vient bien de moi ». C'est le rôle des trois réglages qui suivent. Ils prennent la forme de lignes de texte ajoutées dans la zone DNS du nom de domaine, c'est-à-dire l'annuaire technique géré chez le bureau d'enregistrement ou chez l'hébergeur.

Les trois réglages, sans jargon

SPF : la liste des expéditeurs autorisés

Le SPF (Sender Policy Framework, norme RFC 7208) est une ligne publiée dans le DNS qui énumère les serveurs ayant le droit d'envoyer des courriels pour votre domaine : celui de votre messagerie, éventuellement celui du site (pour les messages du formulaire de contact), celui du logiciel de facturation ou d'un outil de lettre d'information. Quand un message arrive, la messagerie du destinataire vérifie que le serveur qui l'a envoyé figure sur la liste.

Il ne peut exister qu'une seule ligne SPF par domaine. L'erreur classique consiste à en ajouter une deuxième lorsqu'on branche un nouvel outil : les deux deviennent alors invalides. Il faut fusionner les autorisations dans une ligne unique.

DKIM : une signature sur chaque message

Le DKIM (DomainKeys Identified Mail, RFC 6376) ajoute à chaque courriel envoyé une signature chiffrée. La clé publique qui permet de la vérifier est publiée dans le DNS. Le destinataire peut ainsi contrôler que le message vient bien d'un serveur autorisé par le domaine et qu'il n'a pas été modifié en chemin. C'est votre service de messagerie qui génère la clé : il vous donne la ligne à publier, ou la publie lui-même s'il gère aussi le DNS.

DMARC : la consigne en cas d'échec

Le DMARC (RFC 7489) relie les deux précédents à l'adresse que voit le lecteur dans le champ « De ». Il indique aux messageries ce qu'elles doivent faire d'un message qui prétend venir de votre domaine mais échoue aux contrôles : ne rien faire de particulier (politique none), le mettre en quarantaine, c'est-à-dire dans les indésirables (quarantine), ou le rejeter (reject). Il permet aussi de recevoir des rapports réguliers listant les serveurs qui envoient des courriels en votre nom.

Ce qu'exigent les grandes messageries

Ces normes existent depuis des années, mais elles sont devenues incontournables en 2024. Google a annoncé qu'à partir de février 2024, tout expéditeur écrivant à des adresses Gmail devait configurer au moins SPF ou DKIM, et que les expéditeurs envoyant plus de 5 000 messages par jour à ces adresses devaient mettre en place SPF, DKIM et DMARC, avec un lien de désinscription en un clic pour les envois commerciaux. Yahoo a annoncé des règles comparables au même moment. Une TPE n'atteint pas ces volumes, mais elle est concernée par le socle minimal, et les filtres tiennent compte de ces signaux pour tous les expéditeurs.

Mettre en place, étape par étape

Faire l'inventaire des envois. Notez tout ce qui envoie des courriels avec votre domaine : la messagerie, le formulaire du site, le logiciel de devis et de facturation, la prise de rendez-vous en ligne, l'outil de lettre d'information. Chaque outil oublié verra ses messages échouer.
Publier le SPF. Une seule ligne, regroupant tous ces services. Votre messagerie et chaque outil indiquent dans leur aide la mention à ajouter.
Activer le DKIM dans l'interface de la messagerie et de chaque outil d'envoi qui le propose, puis publier les clés fournies.
Publier un DMARC en mode observation (politique none), avec une adresse de réception des rapports. Pendant quelques semaines, vérifiez que vos envois légitimes passent les contrôles.
Durcir progressivement la politique vers quarantine, puis reject, une fois que tous vos outils sont correctement déclarés. C'est ce dernier niveau qui empêche réellement l'usurpation.
Noter les réglages dans le dossier technique du site, avec les accès au DNS, pour qu'un futur prestataire ne les efface pas lors d'un changement d'hébergement.

Si un prestataire gère votre site, demandez-lui explicitement ces réglages, et faites-les figurer dans le devis : ils relèvent de la configuration du nom de domaine, pas de la création des pages. Lors d'un changement d'hébergeur, ils font partie des éléments à reprendre, au même titre que les adresses de messagerie, comme nous le rappelons dans notre article sur l'hébergement.

Le cas du domaine qui n'envoie rien

Une entreprise possède souvent plusieurs noms : la variante en .com, l'ancien nom commercial, un nom réservé pour un projet. S'ils n'envoient jamais de courriels, ils peuvent quand même servir à des fraudeurs. La parade est simple : publier pour ces domaines un SPF qui n'autorise aucun serveur et un DMARC en politique reject. Les messages usurpant ces noms seront alors refusés par les messageries qui appliquent DMARC.

Vérifier que tout fonctionne

Envoyez-vous un message vers une adresse Gmail ou Outlook personnelle et affichez l'original ou l'en-tête : la messagerie y indique le résultat des contrôles SPF, DKIM et DMARC (« PASS » quand tout va bien).
Testez de la même façon le formulaire de contact du site et le logiciel de facturation, qui sont les plus souvent oubliés.
Lisez, ou faites lire par votre prestataire, les premiers rapports DMARC : un serveur inconnu qui envoie en votre nom mérite une explication.
Si un client signale une fausse facture à votre nom, ne la traitez pas seule : c'est aussi un incident de sécurité. Les réflexes à avoir sont décrits dans notre article sur la sécurité du site et des comptes.

Ces réglages ne garantissent pas qu'un message soit lu, ni qu'il échappe à tous les filtres : le contenu, la réputation de l'expéditeur et le comportement des destinataires comptent aussi. Mais sans eux, un courriel professionnel part avec un handicap, et le nom de l'entreprise reste à la merci des usurpateurs.

Sources

Google, « Consignes concernant les expéditeurs d'e-mails » : exigences pour tous les expéditeurs et pour ceux qui envoient plus de 5 000 messages par jour, applicables depuis février 2024 (consulté le 29 octobre 2026).
IETF, RFC 7489, Domain-based Message Authentication, Reporting, and Conformance (DMARC), 2015 ; RFC 7208 (SPF, 2014) et RFC 6376 (DKIM, 2011).
Code de la consommation, article L224-42 : accès gratuit au courrier reçu pendant six mois après la résiliation d'un abonnement internet.