Comprendre les trois contrôles sans les confondre

SPF autorise des serveurs à utiliser un domaine dans l’enveloppe technique de l’envoi. Ce domaine n’est pas nécessairement celui que voit le lecteur dans le champ « De ». Un résultat SPF positif ne suffit donc pas à prouver que l’adresse affichée appartient à l’expéditeur attendu. La spécification SPF décrit ce contrôle et ses limites.

DKIM associe une signature au message. Le système de réception utilise une clé publique publiée par le domaine signataire pour vérifier cette signature. Il peut ainsi contrôler l’intégrité des parties signées et la responsabilité revendiquée par ce domaine. DKIM ne constitue pas une validation du bien-fondé commercial du contenu. Voir la spécification DKIM.

DMARC rapproche l’authentification du domaine visible de l’auteur. Un contrôle SPF ou DKIM réussi doit être aligné avec ce domaine pour permettre un résultat DMARC positif. DMARC permet également de publier une préférence de traitement des échecs et de demander des rapports. Le standard actuel est la RFC 9989.

Commencer par un inventaire des expéditeurs légitimes

Réunissez la messagerie des collaborateurs, le CRM, l’outil d’emailing, le site web, la facturation, le support et les éventuels prestataires. Pour chacun, notez le propriétaire interne, le domaine visible, le domaine technique utilisé, la signature DKIM et le type de message. Un formulaire de contact oublié peut utiliser le domaine de l’entreprise depuis un hébergement différent de la messagerie principale.

Demandez ensuite un exemple de message reçu pour chaque flux. Le tableau de configuration d’un outil prouve ce qu’il annonce ; l’examen d’un email de test permet de voir ce qui se passe réellement. Conservez les résultats de contrôle avec la date et l’outil concerné. Cette documentation évite de tout reprendre lorsque le prestataire ou le responsable marketing change.

Ne supprimez pas un ancien expéditeur simplement parce que son nom semble inconnu. Il peut porter des factures ou des alertes peu fréquentes. Identifiez son usage, organisez son remplacement si nécessaire, puis retirez l’autorisation devenue inutile.

Déployer les réglages avec une progression maîtrisée

La personne qui administre le domaine doit travailler avec celle qui connaît les campagnes. La première maîtrise les réglages ; la seconde sait quels flux ne doivent pas être interrompus. Les instructions fournies par chaque outil doivent être rapprochées de la configuration existante, pas ajoutées sans vérification.

Tester avant de généraliser

Envoyez des messages représentatifs : un email simple, une campagne, un message transactionnel et une réponse issue du CRM. Vérifiez l’identité affichée, le domaine de signature et les résultats d’authentification. Un test réussi sur la messagerie des collaborateurs ne valide pas automatiquement le service d’envoi marketing.

Observer avant de renforcer la politique

Une politique DMARC de surveillance permet de commencer à comprendre les usages sans demander le rejet des échecs. Elle ne constitue pas, à elle seule, une protection complète contre l’usurpation. Le passage à une politique plus restrictive doit suivre la correction des flux légitimes et l’analyse des exceptions. Prévoyez un responsable, une fenêtre de changement et une possibilité de retour à la configuration précédente.

Les redirections et les intermédiaires peuvent compliquer certains contrôles. Traitez ces cas avec la personne chargée de la messagerie plutôt que de désactiver globalement les protections pour résoudre un incident isolé.

Exemple : une campagne correcte, des devis en échec

Dans cet exemple fictif, une PME authentifie son outil de newsletter et constate que les campagnes passent les contrôles. Elle applique ensuite une politique plus stricte. Les devis envoyés par un ancien logiciel rencontrent des difficultés : ce second flux n’avait pas été recensé et son identité technique n’était pas alignée.

La correction ne consiste pas à abandonner l’authentification. L’équipe identifie le logiciel, confirme qu’il est toujours utilisé, adapte sa configuration et teste un devis réel sur des boîtes de contrôle. Elle inscrit désormais chaque nouvel outil d’envoi dans un registre. Le problème venait d’un inventaire incomplet, pas du principe de protection.

Ce cas illustre aussi pourquoi marketing et administration doivent partager un calendrier. Un lancement commercial ne devrait pas coïncider avec un changement technique non testé sur le même domaine.

Surveiller la délivrabilité au-delà de l’authentification

Une authentification valide est un socle, pas une garantie d’arrivée en boîte principale. Examinez aussi les erreurs de remise, les plaintes, les désinscriptions, la pertinence de la population et les variations de volume. Une campagne peut être correctement signée et mal reçue parce qu’elle ne correspond pas aux attentes de ses destinataires.

Réalisez une revue après chaque changement d’outil, de domaine ou de prestataire. Pour un incident, comparez le flux affecté aux flux sains : même expéditeur, même période, même fournisseur de réception ? Cette comparaison rend le diagnostic plus précis qu’une modification générale de tous les paramètres.

Reliez ces contrôles à votre dispositif de marketing direct et à la gouvernance de vos outils commerciaux. L’objectif est que chaque équipe sache qui peut envoyer, au nom de quel domaine et selon quelles règles.