SPF, DKIM et DMARC : protéger le domaine de messagerie de votre entreprise

Votre entreprise peut envoyer des e-mails depuis Microsoft 365, un logiciel métier, un formulaire web et une plateforme de newsletters. Pour authentifier ces messages, il faut connaître tous ces expéditeurs puis coordonner SPF, DKIM et DMARC. Ces mécanismes réduisent certaines usurpations du domaine ; leur mise en place doit aussi préserver les envois légitimes.

Comprendre le rôle de chaque mécanisme

L’alignement est le lien entre le domaine de l’adresse affichée comme expéditeur et celui authentifié par SPF ou DKIM. DMARC peut réussir si l’un de ces deux parcours réussit et respecte l’alignement prévu. Il ne demande pas systématiquement que les deux réussissent en même temps.

Recenser les expéditeurs avant de toucher aux DNS

Dressez une liste avec le responsable de chaque service : Microsoft 365, facturation, gestion commerciale, site web, newsletters, outils de prise de rendez-vous et équipements. Pour chacun, relevez le domaine affiché et la méthode d’authentification prise en charge. Les sous-domaines utilisés pour envoyer doivent aussi être examinés.

Une adresse générale comme info@ peut recevoir dans une boîte partagée Microsoft 365 tout en étant utilisée comme expéditeur par un logiciel distinct. Le mode de réception ne décrit donc pas l’ensemble des sources à autoriser. Un oubli peut faire rejeter une facture alors que les messages envoyés depuis Outlook fonctionnent.

Préparer SPF et la signature DKIM

Faites vérifier l’enregistrement SPF existant auprès de l’hébergeur DNS. Les autorisations nécessaires doivent être réunies dans une configuration cohérente ; ajouter un deuxième enregistrement SPF pour corriger un service crée un autre problème. Examinez aussi les limites de résolution DNS et les anciennes sources à retirer après validation.

Pour DKIM, utilisez les valeurs fournies pour votre domaine et votre environnement par Microsoft ou le service d’envoi concerné. Ne recopiez pas les enregistrements d’une autre entreprise. La publication des enregistrements DNS et l’activation effective de la signature sont deux contrôles à réaliser ; une ligne présente dans la zone DNS ne prouve pas que chaque flux est signé correctement.

Déployer DMARC par étapes

Commencez par comprendre les flux et recueillir les informations utiles au moyen d’une politique d’observation lorsque ce parcours est adapté. Une politique DMARC avec p=none ne demande pas la mise en quarantaine ou le rejet des échecs ; elle aide à observer. Définissez qui analyse les rapports et comment les expéditeurs inconnus seront qualifiés.

1. Vérifier SPF et DKIM pour les sources identifiées.
2. Publier les paramètres DMARC adaptés et organiser la réception des rapports.
3. Comparer les résultats aux services effectivement autorisés.
4. Corriger les flux légitimes en échec, puis valider une politique plus restrictive.
5. Surveiller les nouveaux services et les changements de prestataire.

Une politique de rejet appliquée avant cet inventaire peut bloquer vos propres applications. À l’inverse, conserver indéfiniment l’observation sans suivi ne réalise pas le durcissement attendu. La décision doit relier les résultats techniques et les usages métier.

Valider chaque parcours avec des messages de test

Envoyez des messages sans données sensibles depuis chaque service vers des destinataires de test autorisés. Examinez les en-têtes reçus et les résultats d’authentification : domaine affiché, domaine signé, résultat SPF et décision DMARC. Conservez une fiche par flux avec le résultat attendu, le résultat constaté et la correction nécessaire.

Les transferts, listes de diffusion et passerelles peuvent modifier le parcours. Un problème après passage par un intermédiaire mérite un diagnostic propre, avec les mécanismes pris en charge par celui-ci. Évitez de créer une autorisation globale ou une exclusion générale pour résoudre un seul échec.

Conserver les autres protections de la messagerie

Un message issu d’un compte légitime compromis peut réussir l’authentification du domaine. Les noms d’affichage trompeurs et les domaines ressemblants restent également des risques. La sécurité de la messagerie comprend donc l’authentification des comptes, le filtrage, les délégations et la vérification des demandes sensibles.

Dans une PME genevoise, une nouvelle plateforme de facturation ou de communication doit déclencher une revue du flux d’envoi. Attribuez ce contrôle à une personne identifiée et documentez les changements. Il complète le plan de cybersécurité de l’entreprise sans transformer un résultat technique en garantie sur le contenu du message.