La conversation commence généralement ainsi : « nous avons envoyé la proposition lundi, le client dit qu’il ne l’a jamais reçue ». Ou : « la facture a été envoyée, mais elle a fini dans les spams, et le paiement a maintenant trois semaines de retard ».
Les personnes qui entendent ces phrases ont tendance à les traiter comme des accidents. Ce n’en sont pas. Dans l’immense majorité des cas, c’est le résultat prévisible d’une configuration manquante. Et la bonne nouvelle, c’est que la correction est rapide, peu coûteuse et définitive.
Cet article explique, sans jargon, ce qui se cache derrière. Vous n’aurez rien à configurer. Vous aurez besoin de savoir quoi demander.
Le problème que ces trois sigles résolvent
L’e-mail a été conçu dans les années 1980, sur un réseau où tout le monde se connaissait. Il est donc né avec une faiblesse intrinsèque : n’importe quel ordinateur dans le monde peut envoyer un message disant « je suis votre banque », « je suis votre fournisseur » ou « je suis le directeur financier de votre entreprise ». Le protocole ne demande pas d’identifiants. Il accepte l’affirmation.
Pendant des décennies, la réponse a été le filtrage. Les systèmes destinataires ont appris à se méfier, à analyser les schémas et à envoyer en spam tout ce qui semblait suspect. L’effet secondaire est bien connu de toute entreprise : les messages légitimes se retrouvent eux aussi pris dans le filet.
SPF, DKIM et DMARC s’attaquent à la racine du problème. Au lieu de deviner à qui l’on peut faire confiance, ils permettent à chaque organisation de déclarer publiquement qui est autorisé à envoyer en son nom, et aux systèmes destinataires de vérifier cette déclaration.
Les trois, en langage clair
Imaginez une lettre qui arrive à un comptoir d’accueil.
SPF est la liste de ceux qui peuvent envoyer. L’entreprise publie, dans un enregistrement public de son domaine, les serveurs autorisés à envoyer des messages en son nom. Quand un message arrive, le système destinataire consulte la liste et vérifie si l’expéditeur y figure. C’est l’équivalent d’une liste de coursiers autorisés tenue à l’accueil.
DKIM est le sceau de cire. Chaque message envoyé porte une signature cryptographique que seule l’organisation peut produire. Le destinataire vérifie la signature et apprend deux choses : que le message vient bien de celui qui prétend l’avoir envoyé, et que personne ne l’a modifié en chemin. C’est le sceau sur l’enveloppe.
DMARC est la consigne sur ce qu’il faut faire quand quelque chose échoue. Sans lui, chaque système décide pour lui-même. Avec lui, l’organisation dit explicitement : si un message prétend venir de moi et échoue aux vérifications, ignorez-le, mettez-le en quarantaine ou rejetez-le. Et, surtout, DMARC renvoie des rapports : il devient possible de voir qui tente d’envoyer des messages au nom de l’entreprise.
Les trois fonctionnent ensemble. Isolément, chacun ne résout que la moitié du problème.
Ce qui a changé en 2024 et 2025
Pendant des années, c’était considéré comme une recommandation technique. Ce n’est plus le cas.
En février 2024, Google et Yahoo ont commencé à exiger SPF, DKIM et DMARC de quiconque envoie plus de cinq mille messages par jour vers leurs boîtes mail grand public, avec un taux de plaintes pour spam inférieur à 0,3 % et un mécanisme de désabonnement en un clic. En mai 2025, Microsoft a adopté des exigences équivalentes et a commencé à rejeter les messages non conformes sur ses services grand public.
En termes de gestion : les plus grands opérateurs de messagerie du monde ont cessé de traiter l’authentification comme une préférence et ont commencé à la traiter comme une condition de remise. Une organisation sans ces paramètres ne risque pas seulement le dossier spam. Elle risque le rejet pur et simple.
Ce que cela coûte quand ce n’est pas fait
Les dégâts apparaissent rarement sur une facture, et c’est pour cela qu’ils passent inaperçus.
| Symptôme | Coût réel |
|---|---|
| Des propositions commerciales qui atterrissent en spam | Des affaires perdues sans jamais savoir pourquoi |
| Des factures qui n’arrivent pas | Des retards de paiement et du temps passé par le service financier à renvoyer |
| Des clients qui demandent « cet e-mail vient-il vraiment de vous ? » | Des heures de service client, et de la méfiance envers la marque |
| Des tiers qui utilisent le domaine pour du phishing | Une atteinte à l’image, et une réputation de domaine dégradée |
| Des campagnes avec des taux d’ouverture extrêmement faibles | Des dépenses de communication sans retour |
Le dernier point mérite une attention particulière de la part de quiconque communique régulièrement. Une newsletter avec un taux d’ouverture très faible est presque toujours vue comme un échec de contenu. C’est souvent un échec d’authentification : le message n’a pas atteint la boîte de réception principale, il a atterri dans l’onglet promotions ou dans les spams, et personne ne l’a vu pour l’ouvrir.
Un pas de plus : faire apparaître la marque dans la boîte de réception
Quand les trois sont correctement configurés, une possibilité supplémentaire s’ouvre : BIMI, qui permet d’afficher le logo de l’organisation à côté de ses messages dans la boîte de réception du destinataire.
Ce n’est pas un détail cosmétique. Dans une liste de trente messages en noir et blanc, celui qui porte un logo se démarque avant même d’être lu. Et il fonctionne comme un signe de légitimité : les systèmes qui prennent en charge BIMI n’affichent le logo qu’aux expéditeurs dont l’authentification est en ordre, ce qui fait de sa présence une petite garantie que le message est authentique.
Ce qu’il faut demander à qui gère votre messagerie
Vous n’avez pas besoin de savoir le configurer. Vous devez poser cinq questions, et exiger des réponses claires :
- SPF, DKIM et DMARC sont-ils configurés sur notre domaine ? Si la réponse est « je crois que oui », ce n’est pas le cas.
- Sur quelle politique notre DMARC est-il réglé ? Les options sont ne rien faire, mettre en quarantaine ou rejeter. Beaucoup d’organisations restent des années sur la première, utile pour observer mais qui ne protège pas.
- Qui reçoit et lit les rapports DMARC ? Ce sont eux qui révèlent les tentatives d’usurpation du domaine. Sans quelqu’un pour les lire, le mécanisme ne fonctionne qu’à moitié.
- Tous les services qui envoient en notre nom sont-ils autorisés ? Plateformes de newsletter, systèmes de facturation, CRM, boutiques en ligne. C’est là que les surprises surgissent presque toujours.
- Qui prend en charge cette configuration, et la maintient ? Les domaines changent, les prestataires changent, de nouveaux services arrivent. Une configuration correcte en 2023 peut être incomplète aujourd’hui.
La conclusion, en deux lignes
Ce n’est pas une question technique que la direction peut déléguer et oublier. C’est la différence entre des communications qui arrivent ou non, et entre une marque utilisée pour tromper les clients ou non.
La configuration prend quelques heures. Ne pas la faire vous fait perdre des affaires chaque mois, sans que personne ne puisse le chiffrer.