SPF, DKIM et DMARC

Trois enregistrements DNS prouvent aux messageries que tes e-mails viennent bien de toi. Mail les demande à l’ajout du domaine, et vérifie qu’ils sont visibles sur Internet. Cette page explique ce que chacun fait, pour que tu saches quoi regarder quand une ligne passe au rouge.

DKIM : la signature

DKIM signe chaque message avec une clé privée, gardée par Amazon SES. La clé publique correspondante est publiée dans ton DNS, sous forme de trois enregistrements CNAME. Quand la messagerie reçoit un message, elle lit la signature, retrouve la clé publique dans ton DNS, et vérifie que le message n’a pas été modifié en route.

• Trois lignes à poser, chacune avec un nom et une valeur qui se terminent par amazonses.com.
• Un enregistrement proxifié chez Cloudflare (nuage orange) ne peut pas être lu : laisse-le en nuage gris.

SPF : qui a le droit d’envoyer

SPF liste les serveurs autorisés à envoyer pour une adresse. Mail le pose sur le sous-domaine d’adresse de retour, bounce.<ton domaine>, avec un enregistrement TXT qui autorise Amazon SES.

• Il ne doit y avoir qu’un seul enregistrement SPF par nom. Avec deux, la messagerie n’en tient aucun compte.
• Si tu en as déjà un, fusionne les deux au lieu d’en ajouter un second.

DMARC : que faire en cas d’échec

DMARC dit à la messagerie quoi faire quand un message échoue aux deux contrôles précédents, et où envoyer les rapports. Mail pose la valeur la plus souple au départ (p=none) : elle laisse passer, et ne bloque rien.

• Un seul DMARC par nom est autorisé.
• Si ton domaine principal en a déjà un (par exemple sur _dmarc.tonentreprise.ch), il vaut aussi pour le sous-domaine d’envoi : rien à ajouter.
• Gmail et Yahoo exigent DMARC pour les expéditeurs qui envoient plus de 5 000 e-mails par jour.

Ce que Mail vérifie

Enregistrement	Où	Ce qui est attendu
DKIM	Trois noms, sur le sous-domaine d’envoi	Trois CNAME qui pointent vers Amazon SES
SPF	bounce.<ton domaine>	Un seul TXT qui commence par v=spf1 et inclut Amazon SES
Adresse de retour	bounce.<ton domaine>	Un MX unique vers la région SES de l’espace
DMARC	_dmarc.<ton domaine>	Un TXT qui commence par v=DMARC1

Une ligne qui reste en attente longtemps est presque toujours une erreur de saisie chez l’hébergeur : espace en trop, nom doublé, ou enregistrement proxifié. Voir Ajouter un domaine.

Pourquoi c’est important

Sans ces trois preuves, une messagerie peut classer ton message en indésirables, voire le refuser, même si son contenu est irréprochable. Avec elles, la messagerie sait que le message est bien de toi, et tes réglages de désabonnement et de réputation prennent tout leur effet. Voir Délivrabilité.