SPF, DKIM et DMARC sont trois enregistrements DNS qui prouvent qu’un e-mail vient bien de votre domaine. Sans eux, n’importe qui peut envoyer des e-mails en prétendant venir de votre boutique, et les fournisseurs de messagerie n’ont aucun moyen de distinguer votre vraie newsletter d’une arnaque. Gmail, Yahoo et Outlook les exigent désormais des expéditeurs en masse : ils ne sont donc plus facultatifs pour une boutique qui fait du marketing par e-mail.
Ce guide explique chaque enregistrement en mots simples, montre à quoi ils ressemblent, détaille la mise en place et aborde l’alignement, le détail qui piège le plus de gens. Il se termine par BIMI, la norme plus récente qui affiche votre logo dans certaines boîtes de réception.
SPF, DKIM et DMARC en un coup d’œil
| Enregistrement | La question à laquelle il répond | Où il se trouve |
|---|---|---|
| SPF | Ce serveur a-t-il le droit d’envoyer des e-mails pour ce domaine ? | Un enregistrement TXT sur votre domaine |
| DKIM | Ce message a-t-il été signé par le domaine, et est-il inchangé ? | Un enregistrement TXT (ou CNAME) à selector._domainkey.yourdomain |
| DMARC | Que doivent faire les destinataires quand SPF et DKIM ne concordent pas, et où envoyer les rapports ? | Un enregistrement TXT à _dmarc.yourdomain |
SPF : qui peut envoyer pour votre domaine
SPF (Sender Policy Framework) est une liste des serveurs et services autorisés à envoyer des e-mails pour votre domaine. Quand un message arrive, le serveur destinataire vérifie si le serveur d’envoi figure sur la liste. Un enregistrement SPF simple ressemble à ceci :
v=spf1 include:_spf.google.com include:sendingservice.example ~all
- v=spf1 : Indique que l’enregistrement est un SPF.
- include: : Ajoute la liste de serveurs d’un autre service, comme votre fournisseur de messagerie et votre outil de marketing par e-mail.
- ~all ou -all : Dit quoi faire de tous les autres : ~all est un « soft fail » (à traiter avec méfiance), -all est un « fail ».
Deux règles piègent souvent. Vous ne pouvez avoir qu’un seul enregistrement SPF par domaine : ajoutez donc les nouveaux services à l’enregistrement existant au lieu d’en créer un second. Et SPF autorise au plus 10 recherches DNS : la norme, RFC 7208, section 4.6.4, précise que les implémentations doivent limiter à 10 les mécanismes include, a, mx, ptr et exists et le modificateur redirect, et que tout dépassement renvoie une erreur permanente. Chaque include compte, et certains include en contiennent d’autres : les longs enregistrements cassent donc sans bruit.
DKIM : une signature sur chaque message
DKIM (DomainKeys Identified Mail) ajoute une signature numérique à chaque e-mail. Votre service d’envoi signe le message avec une clé privée, et vous publiez la clé publique correspondante dans le DNS. Le destinataire s’en sert pour vérifier que la signature est valide et que le message n’a pas été modifié en chemin.
L’enregistrement se trouve sous un « sélecteur », un nom choisi par votre service d’envoi, comme s1._domainkey.yourstore.com. Chaque service depuis lequel vous envoyez a son propre sélecteur : vous pouvez donc avoir plusieurs enregistrements DKIM sans conflit. Votre outil d’e-mail vous donne le nom et la valeur exacts à publier.
DMARC : la politique et les rapports
DMARC (Domain-based Message Authentication, Reporting and Conformance) relie SPF et DKIM à l’adresse que les gens voient sur la ligne De, indique aux destinataires quoi faire des e-mails qui échouent et leur demande de vous envoyer des rapports. Un enregistrement de départ ressemble à ceci :
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourstore.com
- p=none : Surveillance seulement. Les destinataires distribuent comme d’habitude, mais vous envoient des rapports. Gmail, Yahoo et Outlook acceptent ce niveau comme minimum pour les expéditeurs en masse.
- p=quarantine : Les e-mails qui échouent vont dans le dossier spam.
- p=reject : Les e-mails qui échouent sont refusés.
- rua= : L’adresse où vont les rapports agrégés quotidiens. Ils montrent qui envoie des e-mails au nom de votre domaine et si ces e-mails réussissent les contrôles.
Commencez avec p=none, lisez les rapports pendant quelques semaines pour repérer chaque service qui envoie en votre nom (votre boutique, votre outil de service client, votre outil de facturation), corrigez ceux qui échouent, puis passez à quarantine et plus tard à reject. Passer directement à reject peut bloquer vos propres e-mails légitimes.
Qu’est-ce que l’alignement DMARC ?
DMARC ne réussit que si SPF ou DKIM réussit et que le domaine contrôlé correspond au domaine de votre adresse d’expédition. C’est ce qu’on appelle l’alignement. Un message peut réussir SPF pour le domaine de votre outil d’e-mail et échouer quand même à DMARC si l’adresse d’expédition indique yourstore.com. La solution habituelle est une signature DKIM avec votre propre domaine, que votre outil d’e-mail met en place quand vous ajoutez l’enregistrement DKIM qu’il vous donne. Les consignes de Gmail pour les expéditeurs exigent que le domaine de l’adresse d’expédition des expéditeurs en masse soit aligné avec SPF ou DKIM.
Comment configurer SPF, DKIM et DMARC ?
- Listez chaque service qui envoie des e-mails au nom de votre domaine : votre fournisseur de messagerie, votre plateforme de boutique, votre outil de marketing par e-mail, votre outil de service client, votre facturation, etc.
- Chez votre hébergeur DNS (souvent votre registraire de domaine ou Cloudflare), trouvez ou créez l’enregistrement TXT SPF et incluez chaque service. Gardez un seul enregistrement et comptez les recherches.
- Ajoutez les enregistrements DKIM que chaque service d’envoi vous donne.
- Ajoutez un enregistrement DMARC à _dmarc avec p=none et une adresse pour les rapports.
- Envoyez des e-mails de test vers Gmail et ouvrez « Afficher l’original » pour confirmer que SPF, DKIM et DMARC indiquent tous PASS.
- Lisez les rapports DMARC pendant quelques semaines, corrigez ce qui échoue, puis durcissez la politique.
Les changements DNS peuvent mettre du temps à apparaître partout. Si un contrôle échoue juste après la publication, attendez et réessayez avant de modifier l’enregistrement.
Qu’est-ce que BIMI, et en avez-vous besoin ?
BIMI (Brand Indicators for Message Identification) permet aux boîtes de réception compatibles d’afficher votre logo à côté de vos e-mails. Il s’appuie sur DMARC plutôt qu’il ne le remplace. Le guide de configuration BIMI de Google, vérifié le 19 octobre 2026, indique que Gmail a besoin de :
- Une politique DMARC quarantine ou reject, avec pct réglé sur 100. La simple surveillance (p=none) ne suffit pas.
- Un Verified Mark Certificate (VMC), qui exige un logo déposé comme marque, ou un Common Mark Certificate (CMC) si votre logo n’est pas déposé.
- Le logo au format SVG Tiny Portable/Secure (SVG Tiny PS), d’au moins 96 par 96 pixels.
BIMI en vaut la peine pour les marques qui ont déjà un DMARC strict et veulent cette reconnaissance en plus. Pour la plupart des boutiques, bien configurer SPF, DKIM et DMARC passe d’abord. SmartyTap ne configure pas BIMI pour vous : vous publieriez l’enregistrement BIMI et le certificat auprès de votre hébergeur DNS et de votre fournisseur de certificats.
Comment SmartyTap vous aide
Quand vous ajoutez un domaine d’envoi dans SmartyTap, il vous donne l’enregistrement DKIM à publier, vérifie les enregistrements DNS de votre domaine (y compris DKIM et DMARC) et vous dit ce qu’il reste à corriger. Les nouveaux domaines d’envoi suivent ensuite un calendrier de montée en charge progressive (warm-up), et la désinscription en un clic ainsi que l’exclusion automatique des rebonds et des plaintes sont intégrées. Voir l’authentification du domaine d’e-mail dans la documentation.
SmartyTap Starter coûte US$20 par mois pour 2 500 contacts, 25 000 e-mails et 250 crédits SMS (segments). Pro coûte US$199 par mois (ou US$1 990 par an) pour 25 000 contacts, 250 000 e-mails et 2 500 crédits SMS (segments). Un crédit couvre un segment et coûte US$0,02. Les nouveaux espaces de travail ont besoin d’un plan payant pour envoyer, et il n’y a pas d’essai gratuit. Voir les tarifs de SmartyTap.
Glossaire : SPF, DKIM, DMARC et BIMI. À lire ensuite : guide de la délivrabilité des e-mails, comment nettoyer votre liste d’e-mails, le marketing par e-mail pour Shopify et checklist e-mail et SMS pour le Black Friday.
Questions fréquentes
Quelle est la différence entre SPF, DKIM et DMARC ?
SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine. DKIM signe chaque message pour que les destinataires puissent confirmer qu’il vient de votre domaine sans modification. DMARC vérifie que l’un des deux correspond à votre adresse d’expédition, indique aux destinataires quoi faire si ce n’est pas le cas et vous envoie des rapports.
Ai-je besoin de SPF, DKIM et DMARC ?
Si vous envoyez en masse, oui. Gmail, Yahoo et Outlook exigent SPF, DKIM et un enregistrement DMARC (au moins p=none) des expéditeurs en masse (vérifié le 19 octobre 2026), et tous trois améliorent aussi le placement en boîte de réception pour les petits expéditeurs.
Puis-je avoir deux enregistrements SPF ?
Non. Un domaine doit avoir exactement un enregistrement SPF. Deux enregistrements font échouer SPF. Réunissez tous les services dans un seul enregistrement et restez sous 10 recherches DNS.
Par quelle politique DMARC commencer ?
Commencez avec p=none et une adresse pour les rapports. Une fois que les rapports montrent que tous vos e-mails légitimes réussissent, passez à p=quarantine, puis à p=reject.
Écrit par
Claire Mitchell
Rédactrice spécialisée en marketing du cycle de vie, Chargezen
Claire Mitchell écrit sur le marketing du cycle de vie, l’engagement client et le rôle croissant de l’IA dans la fidélisation. Elle montre comment les entreprises utilisent l’e-mail, le SMS, les plateformes de messagerie et les données comportementales pour offrir des expériences plus pertinentes tout au long du parcours client. Ses articles portent sur l’automatisation du marketing, la segmentation intelligente, les campagnes personnalisées et les stratégies qui aident les marques à augmenter les achats répétés et la valeur vie client.
