tadata
← Retour à l'accueil

SPF, DKIM, DMARC en 2026 : les messageries rejettent désormais, et la plupart des domaines ne font encore que surveiller

#security#email-security#best-practices#compliance#devops

Depuis que Gmail refuse au niveau SMTP le courrier de masse non conforme (novembre 2025), après l'application par Microsoft en mai 2025 pour Outlook.com et les règles de Google et Yahoo de février 2024, l'authentification du courrier a cessé d'être un conseil de délivrabilité pour devenir une condition de réception. Pourtant, sur environ 938 000 domaines qui publient un enregistrement DMARC, moins de la moitié appliquent une politique, et sur l'ensemble d'Internet la part des domaines en p=reject se compte en quelques pour cent. Cet article explique comment les trois protocoles s'articulent, comment passer de la surveillance au rejet sans perdre de courrier légitime, et les pannes qui arrêtent la plupart des équipes à mi-chemin.

Ce qui se passe à l'arrivée d'un message

tadata
Serveur émetteur Serveur récepteur DNS du domaine From Boîte aux lettres DMARC passe si SPF ouDKIM passe ET si sondomaine est aligné avec leFrom visible 1. SMTP : MAIL FROM,message signé DKIM 2. SPF : enregistrement TXTdu domaine MAIL FROM 3. IP d'émission autorisées 4. DKIM : clé publiqueselector._domainkey 5. clé publique, signaturevérifiée 6. DMARC : politique _dmarcet règle d'alignement 7. p=reject ; rua=rapports@ 8. livrer, mettre en quarantaine ou rejeter selon le résultatDMARC 9. rapport agrégé quotidien(RUA) Un message, trois contrôles
Serveur émetteur Serveur récepteur DNS du domaine From Boîte aux lettres DMARC passe si SPF ouDKIM passe ET si sondomaine est aligné avec leFrom visible 1. SMTP : MAIL FROM,message signé DKIM 2. SPF : enregistrement TXTdu domaine MAIL FROM 3. IP d'émission autorisées 4. DKIM : clé publiqueselector._domainkey 5. clé publique, signaturevérifiée 6. DMARC : politique _dmarcet règle d'alignement 7. p=reject ; rua=rapports@ 8. livrer, mettre en quarantaine ou rejeter selon le résultatDMARC 9. rapport agrégé quotidien(RUA) Un message, trois contrôles

Ce que la plupart des équipes manquent est dans la note : DMARC n'ajoute pas un quatrième contrôle, il demande si au moins l'un de SPF ou DKIM a réussi pour le domaine que l'utilisateur voit dans From. Un outil de newsletter qui passe SPF pour son propre domaine de rebond et signe DKIM avec sa propre clé réussit les deux contrôles et échoue quand même à DMARC, parce qu'aucun des deux résultats n'appartient à votre domaine.

Ce que chaque protocole protège

tadata
Protège contre SPF DKIM DMARC MTA-STS+TLS-RPT BIMI ARC IDENTITÉ Expéditeur d'enveloppe usurpé ✓ ✗ ✓ ✗ ✗ ✗ From visible usurpé ✗ ✗ ✓ ✗ ✗ ✗ INTÉGRITÉ Contenu modifié en transit ✗ ✓ ✗ ✗ ✗ ✗ TRANSPORT Rétrogradation vers SMTP non chiffré ✗ ✗ ✗ ✓ ✗ ✗ ROBUSTESSE Résiste aux transferts et listes dediffusion ✗ ✓ ~ ✗ ✗ ✓ VISIBILITÉ Vous dit qui émet en votre nom (rapports) ✗ ✗ ✓ ✓ ✗ ✗ MARQUE Affiche votre logo dans la boîte deréception ✗ ✗ ✗ ✗ ✓ ✗ OBLIGATOIRE Exigé par Google, Yahoo, Microsoft pourles envois de masse ✓ ✓ ✓ ✗ ✗ ✗ Six enregistrements, une zone DNS
Protège contre SPF DKIM DMARC MTA-STS+TLS-RPT BIMI ARC IDENTITÉ Expéditeur d'enveloppe usurpé ✓ ✗ ✓ ✗ ✗ ✗ From visible usurpé ✗ ✗ ✓ ✗ ✗ ✗ INTÉGRITÉ Contenu modifié en transit ✗ ✓ ✗ ✗ ✗ ✗ TRANSPORT Rétrogradation vers SMTP non chiffré ✗ ✗ ✗ ✓ ✗ ✗ ROBUSTESSE Résiste aux transferts et listes dediffusion ✗ ✓ ~ ✗ ✗ ✓ VISIBILITÉ Vous dit qui émet en votre nom (rapports) ✗ ✗ ✓ ✓ ✗ ✗ MARQUE Affiche votre logo dans la boîte deréception ✗ ✗ ✗ ✗ ✓ ✗ OBLIGATOIRE Exigé par Google, Yahoo, Microsoft pourles envois de masse ✓ ✓ ✓ ✗ ✗ ✗ Six enregistrements, une zone DNS

Les trois de gauche sont obligatoires pour quiconque envoie 5 000 messages par jour vers Gmail, Yahoo ou Outlook.com ; les trois de droite s'ajoutent une fois DMARC appliqué. BIMI ne fonctionne qu'en p=quarantine ou p=reject, c'est la carotte que les fournisseurs ont attachée à l'application.

Les chiffres, automne 2026

tadata
938 k domaines avec un enregistrement DMARC valide contre 524 k en 2023 44 % d'entre eux appliquent (quarantine oureject) environ 412 k domaines ; les autres surveillentseulement 63 % du Fortune 500 en p=reject contre 15 % de l'Inc. 5000 2,5 % des 73 millions de domaines analysés enp=reject Red Sift, décembre 2025 Rapport d'adoption EasyDMARC 2026 (1,8 million de domaines), Red Sift décembre 2025 ; lus le 15 octobre 2026 Adoption et application de DMARC
938 k domaines avec un enregistrement DMARC valide contre 524 k en 2023 44 % d'entre eux appliquent (quarantine oureject) environ 412 k domaines ; les autres surveillentseulement 63 % du Fortune 500 en p=reject contre 15 % de l'Inc. 5000 2,5 % des 73 millions de domaines analysés enp=reject Red Sift, décembre 2025 Rapport d'adoption EasyDMARC 2026 (1,8 million de domaines), Red Sift décembre 2025 ; lus le 15 octobre 2026 Adoption et application de DMARC

Deux lectures. Publier un enregistrement est devenu normal ; l'appliquer, non, et l'écart est tout le problème : un enregistrement p=none satisfait les listes de contrôle des envois de masse mais n'arrête aucune usurpation. Et le gradient de taille (les grandes entreprises appliquent, les moyennes surveillent) correspond à ce que nous voyons en audit : le frein n'est pas la connaissance mais la peur de bloquer le seul outil SaaS que personne n'a inventorié.

De la surveillance au rejet en quatre étapes

tadata
✓ Inventaire SPF et DKIM pour chaque émetteur: serveur de messagerie, CRM,newsletter, tickets, facturation,RH, supervision 2 p=none + rapports collecter les rapports agrégés 4à 6 semaines ; un analyseur (opensource ou service) transforme leXML en liste d'émetteurs 3 p=quarantine, pct=10 à 100 les émetteurs inconnus tombent enspam ; corriger ou retirer chacun; monter pct chaque semaine 4 p=reject ajouter sp=reject pour lessous-domaines, MTA-STS, puisBIMI si vous voulez le logo Déploiement DMARC : où la plupart des organisations sont bloquées
✓ Inventaire SPF et DKIM pour chaque émetteur: serveur de messagerie, CRM,newsletter, tickets, facturation,RH, supervision 2 p=none + rapports collecter les rapports agrégés 4à 6 semaines ; un analyseur (opensource ou service) transforme leXML en liste d'émetteurs 3 p=quarantine, pct=10 à 100 les émetteurs inconnus tombent enspam ; corriger ou retirer chacun; monter pct chaque semaine 4 p=reject ajouter sp=reject pour lessous-domaines, MTA-STS, puisBIMI si vous voulez le logo Déploiement DMARC : où la plupart des organisations sont bloquées

L'étape 2 est celle où les 56 % qui ne font que surveiller se sont arrêtés. La sortie est sans gloire : un tableur de chaque service qui envoie du courrier en votre nom, avec son include SPF ou son IP d'émission, son sélecteur DKIM et la personne responsable. Dans la plupart des entreprises de taille moyenne, cette liste compte 15 à 30 entrées et trois d'entre elles surprennent tout le monde.

Les enregistrements, au même endroit

tadata
SPFTXT sur le domaine : v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.10 -all ; au plus 10 résolutions DNS, donc aplatir ou élaguer les includes
DKIMTXT sur selector._domainkey : v=DKIM1; k=rsa; p=<clé publique 2048 bits> ; un sélecteur par service émetteur, rotation annuelle
DMARCTXT sur _dmarc : v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@votredomaine; adkim=r; aspf=r; pct=100
MTA-STSTXT sur _mta-sts (v=STSv1; id=2026101501) plus https://mta-sts.votredomaine/.well-known/mta-sts.txt avec mode: enforce et vos hôtes MX
TLS-RPTTXT sur _smtp._tls : v=TLSRPTv1; rua=mailto:tlsrpt@votredomaine
BIMITXT sur default._bimi : v=BIMI1; l=https://votredomaine/logo.svg; a=https://votredomaine/vmc.pem ; exige p=quarantine ou reject et, pour Gmail, un certificat Verified Mark
Domaines parquésv=spf1 -all, un enregistrement DKIM vide (p=) et p=reject : les domaines qui n'émettent jamais sont les plus faciles à usurper

Ce qui casse, et comment le voir

tadata
Les factures du SaaS de facturation tombent en spam après le passage en p=quarantine HIGH LIKELY CAUSES 1. L'outil signe DKIM avec son propredomaine, pas le vôtre 2. Son domaine de rebond n'est pas levôtre, donc SPF ne peut pass'aligner HOW TO CONFIRM Ouvrir les en-têtes d'un message :Authentication-Results montredkim=pass mais d= est le domaine dufournisseur dig TXT selector._domainkey.votredomaine.fr FIX Ajouter les enregistrementsCNAME fournis par l'éditeurpour un domaine DKIMpersonnalisé Ou définir un domaine deretour (rebond) personnalisésous le vôtre SPF renvoie permerror dans les rapports MEDIUM LIKELY CAUSES 1. Plus de 10 résolutions DNS unefois tous les includes développés 2. Deux enregistrements SPF sur lemême nom HOW TO CONFIRM Compter les résolutions avec unvérificateur SPF ; Google Workspaceseul en coûte plusieurs dig TXT votredomaine.fr | grepspf1 FIX Retirer les includes desservices que vous n'utilisezplus Déplacer les émetteurs raresvers un sous-domaine avec sonpropre SPF Aplatir les includes en plagesd'IP, avec une procédure pourles rafraîchir Le courrier transféré par un partenaire ou une liste de diffusion échoue à DMARC LOW LIKELY CAUSES 1. Le transfert réécrit l'enveloppe,ce qui casse SPF ; certaineslistes modifient le corps, ce quicasse DKIM HOW TO CONFIRM Les rapports montrent des échecsdepuis les IP du transféreurseulement, avec dkim=pass surl'original FIX Accepter la perte : DKIMsurvit à la plupart destransferts, et les récepteurscompatibles ARC (Gmail,Microsoft) réparent le reste Ne pas assouplir la politiquepour autant Trois pannes qui arrêtent un déploiement
Les factures du SaaS de facturation tombent en spam après le passage en p=quarantine HIGH LIKELY CAUSES 1. L'outil signe DKIM avec son propredomaine, pas le vôtre 2. Son domaine de rebond n'est pas levôtre, donc SPF ne peut pass'aligner HOW TO CONFIRM Ouvrir les en-têtes d'un message :Authentication-Results montredkim=pass mais d= est le domaine dufournisseur dig TXT selector._domainkey.votredomaine.fr FIX Ajouter les enregistrementsCNAME fournis par l'éditeurpour un domaine DKIMpersonnalisé Ou définir un domaine deretour (rebond) personnalisésous le vôtre SPF renvoie permerror dans les rapports MEDIUM LIKELY CAUSES 1. Plus de 10 résolutions DNS unefois tous les includes développés 2. Deux enregistrements SPF sur lemême nom HOW TO CONFIRM Compter les résolutions avec unvérificateur SPF ; Google Workspaceseul en coûte plusieurs dig TXT votredomaine.fr | grepspf1 FIX Retirer les includes desservices que vous n'utilisezplus Déplacer les émetteurs raresvers un sous-domaine avec sonpropre SPF Aplatir les includes en plagesd'IP, avec une procédure pourles rafraîchir Le courrier transféré par un partenaire ou une liste de diffusion échoue à DMARC LOW LIKELY CAUSES 1. Le transfert réécrit l'enveloppe,ce qui casse SPF ; certaineslistes modifient le corps, ce quicasse DKIM HOW TO CONFIRM Les rapports montrent des échecsdepuis les IP du transféreurseulement, avec dkim=pass surl'original FIX Accepter la perte : DKIMsurvit à la plupart destransferts, et les récepteurscompatibles ARC (Gmail,Microsoft) réparent le reste Ne pas assouplir la politiquepour autant Trois pannes qui arrêtent un déploiement

En résumé

L'authentification du courrier, ce sont trois enregistrements DNS et un inventaire. Les enregistrements prennent une après-midi ; l'inventaire est le projet, et c'est pour cela que la plupart des domaines s'arrêtent à p=none. Maintenant que les trois plus grandes messageries rejettent au lieu d'avertir, le coût de ne pas finir n'est plus un classement en spam mais le silence. Traitez le déploiement comme tout changement de sécurité : inventorier, surveiller, appliquer progressivement, puis tenir la liste des émetteurs à jour à chaque nouvel outil SaaS. Nos articles sur le guide d'hygiène de l'ANSSI et l'architecture zero trust situent ce contrôle parmi les autres.

Sources : consignes aux expéditeurs de Google, Yahoo et Microsoft ; rapport EasyDMARC 2026 sur l'adoption et l'application de DMARC ; statistiques DMARC de Red Sift (décembre 2025) ; RFC 7208 (SPF), 6376 (DKIM), 7489 (DMARC), 8461 (MTA-STS), 8460 (TLS-RPT), 8617 (ARC). Les chiffres d'adoption varient selon le fournisseur et l'échantillon ; lus le 15 octobre 2026.

Nous utilisons des cookies analytiques pour améliorer votre expérience. Aucune donnée personnelle n'est collectée.