SPF, DKIM, DMARC : que demander pour les emails de votre entreprise ?

Imaginez un client qui reçoit un email portant le nom de votre entreprise. Le message demande de payer une facture sur un nouveau compte bancaire. Pourtant, personne chez vous ne l’a envoyé. Le nom affiché dans une boîte de réception ne suffit pas à prouver l’identité de l’expéditeur.

C’est l’un des problèmes auxquels répondent SPF, DKIM et DMARC. Ces mécanismes permettent aux services de messagerie d’effectuer des vérifications en arrière-plan. Pour comprendre ce que vous pouvez demander à votre prestataire, suivons un email envoyé par un atelier de réparation, depuis son logiciel de facturation jusqu’à son client.

SPF : le service qui envoie est-il autorisé ?

SPF ressemble à une liste de services autorisés à expédier du courrier. Le prestataire publie cette liste dans les DNS, les réglages associés au nom de domaine. La messagerie du client peut alors vérifier si le serveur utilisé pour l’envoi figure parmi ceux autorisés pour le domaine technique de l’expéditeur.

Cette dernière précision compte : un email comporte des informations de transport que le client ne voit généralement pas. SPF contrôle ce côté technique, pas directement l’adresse « De » affichée à l’écran.

Pour notre atelier, le logiciel de facturation fait donc partie des services à examiner, au même titre que la messagerie habituelle. Le protéger ne consiste pas simplement à déclarer le nom du dirigeant comme expéditeur autorisé.

DKIM : le message porte-t-il une signature vérifiable ?

DKIM ajoute au message une signature numérique liée à un domaine. Elle est invisible dans la lecture habituelle et n’a rien à voir avec le logo ou les coordonnées placés au bas d’un email. La messagerie destinataire peut la vérifier et détecter si les parties signées ont été modifiées depuis leur signature.

Dans notre exemple, le logiciel de facturation doit pouvoir signer les messages de façon appropriée. Une signature valide ne prouve cependant pas que la facture est honnête : elle donne une information sur le domaine signataire et l’intégrité des éléments signés.

DMARC : ces vérifications correspondent-elles au domaine affiché ?

Il reste à relier ces contrôles à ce que lit le client. DMARC vérifie qu’au moins un contrôle réussi, SPF ou DKIM, porte sur un domaine suffisamment lié à celui de l’adresse « De ». Le titulaire peut aussi publier ses préférences de traitement des échecs, par exemple demander une mise en quarantaine ou un rejet. La messagerie destinataire conserve ses propres décisions de traitement.

Des rapports permettent de suivre l’utilisation du domaine et de repérer des problèmes. C’est utile pour l’atelier : avant de durcir ses consignes, son prestataire peut vérifier que les factures légitimes passent bien les contrôles.

Le point de départ est la liste de vos vrais expéditeurs

Votre entreprise utilise peut-être plusieurs services pour envoyer des emails : sa messagerie, un outil de devis, une newsletter ou un formulaire de contact. Si l’un est oublié, un réglage trop strict peut perturber les messages que vous voulez précisément faire parvenir à vos clients.

Vous n’avez pas besoin de savoir écrire les réglages DNS. Vous pouvez en revanche demander : « Quels outils envoient en notre nom ? Sont-ils correctement pris en compte par SPF, DKIM et DMARC ? Qui examine les rapports et les erreurs ? » La réponse doit décrire vos services réels et prévoir un déploiement suivi, plutôt qu’un simple copier-coller de configuration.

Ces vérifications ne rendent pas tous les emails sûrs. Un fraudeur peut utiliser un domaine ressemblant au vôtre ou un compte légitime compromis. Elles réduisent un type d’usurpation ; elles ne remplacent pas la vérification d’un changement de coordonnées bancaires par un autre canal connu.