SPF vs DKIM vs DMARC : comprendre les différences
Trois protocoles, un seul objectif : empêcher l'usurpation de votre domaine email. Découvrez ce qui les distingue et pourquoi vous avez besoin des trois.
Pourquoi trois protocoles ?
L'email a été conçu dans les années 1980 sans aucun mécanisme d'authentification. N'importe qui pouvait (et peut encore) envoyer un message en prétendant être quelqu'un d'autre. Pour combler cette faille, trois protocoles complémentaires ont été créés au fil du temps :
- SPF (2006) — vérifie que le serveur expéditeur est autorisé par le domaine.
- DKIM (2007) — ajoute une signature cryptographique au message pour garantir son intégrité.
- DMARC (2012) — orchestre SPF et DKIM, et indique aux serveurs récepteurs quoi faire en cas d'échec.
Chacun couvre un angle différent de l'authentification. Utilisés séparément, ils laissent des failles. Combinés, ils forment une protection robuste contre le spoofing et le phishing.
Tableau comparatif
| Critère | SPF | DKIM | DMARC |
|---|---|---|---|
| Objectif | Vérifier que le serveur expéditeur est autorisé | Garantir l'intégrité et l'authenticité du message | Orchestrer SPF/DKIM et définir la politique en cas d'échec |
| Ce qu'il vérifie | L'adresse IP du serveur d'envoi vs les IP autorisées dans le DNS | La signature cryptographique dans l'en-tête du message | L'alignement du domaine From avec SPF et/ou DKIM |
| Type d'enregistrement DNS | TXT | TXT (sous-domaine _domainkey) | TXT (sous-domaine _dmarc) |
| Suffisant seul ? | Non — ne protège pas le header From visible | Non — n'indique pas quoi faire en cas d'échec | Non — nécessite SPF et/ou DKIM pour fonctionner |
| RFC | RFC 7208 | RFC 6376 | RFC 7489 |
SPF en résumé
Le SPF (Sender Policy Framework) est le premier niveau de protection. Il permet de déclarer dans le DNS la liste des serveurs autorisés à envoyer des emails pour votre domaine.
- Fonctionne en comparant l'IP du serveur expéditeur avec les IP autorisées
- Protège contre l'envoi depuis des serveurs non autorisés
- Limite : ne vérifie que l'adresse d'enveloppe (MAIL FROM), pas le header From visible par le destinataire
- Maximum de 10 lookups DNS par enregistrement
DKIM en résumé
Le DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque email envoyé. Le serveur récepteur peut vérifier cette signature grâce à la clé publique publiée dans le DNS du domaine expéditeur.
- Garantit que le contenu du message n'a pas été modifié en transit
- Lie le message à un domaine spécifique via une signature numérique
- Survit au transfert d'email (contrairement au SPF)
- Limite : ne dit pas au serveur récepteur quoi faire si la vérification échoue
DMARC en résumé
Le DMARC (Domain-based Message Authentication, Reporting & Conformance) est la pièce maîtresse qui fait fonctionner SPF et DKIM ensemble. Il vérifie l'alignement : le domaine du header From doit correspondre au domaine vérifié par SPF et/ou DKIM.
- Définit une politique claire :
none(surveiller),quarantine(spam),reject(bloquer) - Envoie des rapports sur les tentatives d'usurpation
- Protège le header From visible par le destinataire (la faille de SPF seul)
- Prérequis : au moins SPF ou DKIM doit être configure
Comment les 3 fonctionnent ensemble
Voici ce qui se passe quand un serveur reçoit un email prétendant venir de votre domaine :
- Vérification SPF — Le serveur récepteur extrait le domaine du MAIL FROM et vérifie si l'IP de l'expéditeur est autorisée dans l'enregistrement SPF. Résultat : pass ou fail.
- Vérification DKIM — Le serveur récepteur cherche la signature DKIM dans les en-têtes du message, récupère la clé publique dans le DNS, et vérifie que la signature est valide. Résultat : pass ou fail.
- Vérification DMARC — Le serveur récepteur vérifie que le domaine du header From est aligné avec le domaine vérifié par SPF et/ou DKIM. Il suffit qu'un seul des deux soit aligné pour que DMARC passe.
- Application de la politique — Si DMARC échoue, le serveur applique la politique définie :
none(aucune action, mais rapport envoyé),quarantine(envoi en spam) oureject(rejet pur et simple).
C'est cette combinaison qui rend l'usurpation extrêmement difficile : un attaquant devrait à la fois envoyer depuis un serveur autorisé (SPF), signer le message avec votre clé privée (DKIM), et que tout soit aligné avec le header From (DMARC).
Par quoi commencer ?
Voici l'ordre d'implémentation recommandé pour protéger votre domaine progressivement :
- Configurer SPF — Listez vos serveurs d'envoi et créez votre enregistrement SPF. C'est le plus simple à mettre en place. Voir le guide SPF
- Configurer DKIM — Activez la signature DKIM chez votre fournisseur de messagerie et publiez la clé publique dans votre DNS. Voir le guide DKIM
- Déployer DMARC en mode surveillance — Commencez avec
p=nonepour collecter des rapports sans impacter la délivrabilité. Voir le guide DMARC - Passer en quarantine — Une fois les rapports analysés et les sources légitimes identifiées, passez à
p=quarantinepour envoyer les emails non authentifiés en spam. - Passer en reject — Quand tout est stable, activez
p=rejectpour bloquer définitivement les emails non authentifiés. C'est le niveau de protection maximal.
Cette approche progressive évite de bloquer accidentellement des emails légitimes tout en renforçant progressivement votre sécurité.
Questions fréquentes
Quelle est la différence entre SPF et DKIM ?
SPF vérifie d'où part l'email : il compare l'adresse IP du serveur expéditeur à la liste des serveurs autorisés publiée dans votre DNS. DKIM vérifie ce que contientl'email : une signature cryptographique prouve que le message n'a pas été altéré en route et qu'il provient bien de votre domaine. SPF authentifie le serveur, DKIM authentifie le message. Ils sont complémentaires, pas interchangeables.
Quelle est la différence entre DKIM et DMARC ?
DKIM signe vos emails, mais ne dit rien au serveur qui les reçoit : si la signature est invalide, rien n'indique s'il faut livrer le message, le mettre en spam ou le rejeter. DMARC comble ce vide. Il ajoute deux choses : une politique (none, quarantine, reject) et une vérification d'alignemententre le domaine signé et le domaine affiché au destinataire. DKIM est un mécanisme d'authentification, DMARC est la règle de décision qui s'appuie dessus.
SPF, DKIM, DMARC : lequel est le plus important ?
DMARC, mais il ne fonctionne pas seul. SPF et DKIM produisent chacun un verdict, et DMARC est le seul des trois à protéger l'adresse que votre destinataire voit réellement — le header From. Sans DMARC, un attaquant peut passer le SPF avec son propre domaine d'enveloppe tout en affichant le vôtre. Les trois forment un ensemble : deux mécanismes de preuve, une politique qui les exploite.
Dans quel ordre configurer SPF, DKIM et DMARC ?
Toujours SPF, puis DKIM, puis DMARC. SPF est le plus rapide à publier et ne casse rien. DKIM demande d'activer la signature chez chaque service qui envoie en votre nom. DMARC arrive en dernier, en commençant impérativement par p=none : cette phase de surveillance vous montre qui envoie des emails avec votre domaine avant que vous ne bloquiez quoi que ce soit.
Peut-on mettre DMARC sans SPF ni DKIM ?
Techniquement oui, mais c'est inutile et dangereux. DMARC n'a aucun verdict à exploiter si ni SPF ni DKIM ne sont configurés : tous vos emails échoueront l'alignement. Avec p=reject, vous bloqueriez votre propre courrier légitime. Publiez SPF et DKIM d'abord, vérifiez qu'ils passent, et seulement ensuite déployez DMARC.
Vérifiez votre domaine gratuitement
Testez votre configuration SPF, DKIM, DMARC et MTA-STS en un clic. Notre outil analyse votre domaine et vous indique exactement ce qu'il faut corriger.
Tester mon domaine