SPF, DKIM et DMARC : le guide complet de configuration pour les expéditeurs de cold email en 2026

SPF protège votre domaine en autorisant des expéditeurs spécifiques

Les enregistrements SPF sont des entrées DNS TXT qui prennent effet en quelques minutes à 48 heures selon le TTL de votre DNS. Un enregistrement SPF correctement configuré empêche les spammeurs d'usurper votre domaine comme expéditeur — une pratique appelée spoofing. Sans SPF, n'importe quel serveur sur Internet peut prétendre envoyer des e-mails depuis votre domaine.

1. Étape 1 : connectez-vous à votre fournisseur DNS (Cloudflare, GoDaddy, Namecheap, Route 53, etc.)
2. Étape 2 : créez un nouvel enregistrement TXT pour votre domaine racine (@)
3. Étape 3 : définissez la valeur sur : v=spf1 include:_spf.google.com ~all (remplacez par le tag include de votre ESP)
4. Étape 4 : si vous utilisez plusieurs services d'envoi, chaînez les include : v=spf1 include:sendgrid.net include:_spf.google.com ~all
5. Étape 5 : gardez votre nombre de résolutions (lookups) sous 10 — chaque include compte pour une résolution
6. Étape 6 : vérifiez avec le SPF Record Checker de MXToolbox ou dig TXT votredomaine.com

Les erreurs SPF courantes incluent le dépassement de 10 résolutions DNS (qui provoque une permerror), le fait de lister des adresses IP sans inclure l'enregistrement SPF de votre ESP, ou la présence d'enregistrements SPF en double. Vous ne pouvez avoir qu'un seul enregistrement TXT SPF par domaine — plusieurs enregistrements font échouer la politique.

Configuration DKIM étape par étape

DKIM ajoute une signature cryptographique vérifiée à chaque e-mail sortant

DKIM utilise une paire de clés RSA 2048 bits (la longueur de clé minimale recommandée en 2025 — les clés 1024 bits sont désormais signalées par Gmail). Votre serveur de messagerie ou votre ESP détient la clé privée et signe les messages sortants. La clé publique réside dans le DNS sous forme d'enregistrement TXT sous un sous-domaine de sélecteur. Les serveurs de réception récupèrent la clé publique et vérifient la signature.

1. Étape 1 : dans votre ESP (Google Workspace, Microsoft 365, SendGrid, etc.), accédez aux paramètres DKIM et générez une paire de clés
2. Étape 2 : copiez la valeur de l'enregistrement TXT DKIM — elle ressemblera à : v=DKIM1; k=rsa; p=MIGfMA0GCSq...
3. Étape 3 : dans le DNS, créez un enregistrement TXT avec le nom : [selecteur]._domainkey.votredomaine.com (par exemple, google._domainkey.votredomaine.com)
4. Étape 4 : collez la valeur de la clé publique fournie par votre ESP
5. Étape 5 : revenez à votre ESP et cliquez sur « Authentifier » ou « Vérifier » pour confirmer la propagation DNS
6. Étape 6 : testez avec : nslookup -type=TXT google._domainkey.votredomaine.com ou utilisez le validateur DKIM Core

Si vous envoyez depuis plusieurs services (votre propre serveur de messagerie plus un outil de prospection comme ColdBox), chaque service d'envoi a besoin de son propre sélecteur et de sa propre paire de clés DKIM. Ne partagez pas de clés privées entre services.

Configuration DMARC étape par étape et progression de la politique

DMARC applique vos politiques d'authentification et vous donne une visibilité par le reporting

Seuls 37 % des expéditeurs qui mettent en place DMARC utilisent une politique d'application (quarantaine ou rejet). Les autres restent bloqués sur p=none — ils reçoivent des rapports mais ne protègent pas leur domaine. La bonne approche est un déploiement progressif sur 4 à 8 semaines, passant de la surveillance à l'application une fois que les rapports confirment que vos flux de courrier légitimes sont authentifiés.

1. Étape 1 : créez un enregistrement TXT nommé _dmarc.votredomaine.com
2. Étape 2 : commencez en mode surveillance : v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1
3. Étape 3 : attendez 2 à 4 semaines et analysez les rapports agrégés (utilisez les offres gratuites de Postmark DMARC Analyzer, Dmarcian ou Valimail)
4. Étape 4 : identifiez tout flux de courrier légitime échouant à l'authentification et corrigez SPF/DKIM pour ces services
5. Étape 5 : passez en quarantaine : v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]
6. Étape 6 : augmentez pct à 50, puis 100 par intervalles de deux semaines
7. Étape 7 : politique finale : v=DMARC1; p=reject; pct=100; rua=mailto:[email protected]; aspf=s; adkim=s

Exigences d'alignement DMARC

DMARC exige un « alignement » — le domaine de votre en-tête From doit correspondre (ou s'aligner) au domaine utilisé dans l'authentification SPF ou DKIM. Il existe deux modes d'alignement : souple (aspf=r, adkim=r) autorise la correspondance de sous-domaine, et strict (aspf=s, adkim=s) exige une correspondance exacte.

Cela compte pour les expéditeurs de cold email utilisant des sous-domaines pour la prospection. Si vous envoyez depuis outreach.votredomaine.com mais que votre DMARC est sur votredomaine.com, l'alignement souple passera. L'alignement strict échouera à moins de configurer DMARC séparément sur le sous-domaine. La plupart des praticiens du cold email recommandent l'alignement souple pour éviter de bloquer l'envoi depuis les sous-domaines.

Outils de test et de vérification

• MXToolbox : recherche et validation de syntaxe gratuites des enregistrements SPF, DKIM et DMARC sur mxtoolbox.com/SuperTool.aspx
• Mail-Tester.com : envoyez un e-mail de test à une adresse unique et obtenez un score de spam ainsi qu'un détail réussite/échec de l'authentification
• Google Postmaster Tools : tableau de bord gratuit de surveillance de la réputation et de l'authentification de votre domaine (nécessite un volume Google Workspace ou Gmail)
• GlockApps : test payant de placement en boîte de réception via liste-témoin — indique si votre e-mail atterrit en boîte de réception, promotions ou spam sur plus de 80 fournisseurs
• Dmarcian : visualisation des rapports DMARC agrégés — l'offre gratuite couvre jusqu'à 100 000 messages/mois
• DKIM Core Validator : vérifiez la publication de la clé publique DKIM sur dkimcore.org/tools/

Stratégie de sous-domaine pour les expéditeurs de cold email

Envoyer du cold email depuis votre domaine racine met toute votre marque en danger

Les praticiens expérimentés du cold email utilisent des sous-domaines dédiés (outreach.votredomaine.com, sales.votredomaine.com) ou des domaines secondaires (votredomaineoutreach.com) pour la prospection. Cela isole votre réputation d'envoi — si un domaine de prospection est signalé, la délivrabilité de votre domaine principal pour les clients entrants et le courrier transactionnel reste intacte.

Chaque sous-domaine ou domaine secondaire a besoin de ses propres enregistrements SPF, DKIM et DMARC. L'enregistrement SPF sur le sous-domaine peut référencer le tag include de votre ESP. Les clés DKIM doivent être générées spécifiquement pour ce domaine. Configurez DMARC sur le sous-domaine en pointant vers une boîte de surveillance que vous consultez réellement chaque semaine.

Erreurs de configuration courantes et comment les corriger

FAQ : SPF, DKIM et DMARC pour le cold email

Ai-je besoin de DMARC si j'ai déjà SPF et DKIM ?

Oui. SPF et DKIM authentifient votre e-mail, mais sans DMARC, aucune politique n'indique aux serveurs de réception quoi faire lorsque l'authentification échoue. Google, Yahoo et Microsoft exigent tous DMARC pour les expéditeurs de masse depuis 2025. Même une politique p=none satisfait à l'obligation pendant que vous collectez des données.

Combien de temps faut-il pour que DMARC prenne effet ?

Les modifications DNS se propagent en quelques minutes à 48 heures selon votre réglage TTL. Réglez le TTL de votre enregistrement DMARC à 3600 (1 heure) pendant la configuration afin de pouvoir itérer rapidement. Une fois stable, augmentez-le à 86400 (24 heures).

Puis-je configurer SPF, DKIM et DMARC moi-même sans développeur ?

Oui. Les trois enregistrements sont des entrées DNS TXT. Tout bureau d'enregistrement de domaine ou hébergeur DNS (Cloudflare, GoDaddy, Namecheap) vous permet d'ajouter des enregistrements TXT via son interface web. Votre ESP (Google Workspace, SendGrid, etc.) fournit les valeurs exactes à copier. Le processus prend 30 à 60 minutes pour quelqu'un à l'aise avec les paramètres DNS.

Que se passe-t-il si je néglige l'authentification pour ma prospection à froid ?

Le cold email non authentifié subit un placement en boîte de réception de 10 à 20 % inférieur à celui du courrier authentifié, et cet écart se creuse à mesure que les FAI durcissent leur application. Google et Yahoo peuvent rejeter votre courrier purement et simplement si vous dépassez 5 000 envois quotidiens sans authentification adéquate. Les seuils de plaintes pour spam (0,3 % chez Google) s'appliquent aux expéditeurs authentifiés — les expéditeurs non authentifiés n'ont aucun recours.

À quelle fréquence dois-je consulter mes rapports DMARC ?

Consultez-les chaque semaine durant le premier mois de configuration. Une fois que vous atteignez p=reject avec des rapports propres, des revues mensuelles suffisent, sauf si vous ajoutez un nouvel ESP ou modifiez votre infrastructure d'envoi. Tout nouveau service d'envoi que vous ajoutez apparaîtra dans les rapports DMARC agrégés comme une nouvelle source nécessitant une authentification.

DMARC aide-t-il à améliorer les taux de réponse du cold email ?

Directement, non — DMARC n'influence pas la façon dont les humains répondent. Indirectement, oui — car l'application de DMARC améliore le placement en boîte de réception. Un e-mail qui atterrit dans la boîte de réception est vu et reçoit des réponses. Un e-mail qui atterrit dans le spam, non. Les campagnes de cold email correctement authentifiées obtiennent des taux de réponse mesurablement plus élevés, tout simplement parce que davantage de destinataires les reçoivent réellement.