SPF, DKIM, DMARC expliqués simplement
SPF, DKIM, DMARC expliqués simplement : leur rôle, comment les configurer et pourquoi ils conditionnent la délivrabilité en prospection B2B.
Sommaire
Vous lancez une séquence de prospection, le taux d'ouverture s'effondre après quelques jours, et vos emails finissent en spam sans raison apparente. Le contenu est bon, les destinataires sont les bons — mais votre domaine n'inspire plus confiance aux serveurs mail. Dans la grande majorité des cas, la cause se trouve dans trois réglages DNS que peu de commerciaux connaissent : SPF, DKIM et DMARC.
Ce sont des protocoles techniques, mais leur logique est simple : ils permettent aux serveurs mail de vérifier que c'est bien vous qui envoyez un email depuis votre domaine, et pas quelqu'un qui usurpe votre nom. Sans eux, un domaine de prospection B2B part avec un handicap de crédibilité avant même le premier envoi — un sujet qui rejoint directement l'hygiène de votre enrichissement CRM : une base de contacts propre ne sert à rien si vos emails n'arrivent jamais en boîte de réception.
Ce guide explique ce que sont SPF, DKIM et DMARC, à quoi sert chacun, et comment les configurer sans être administrateur système.
Que sont SPF, DKIM et DMARC ?
SPF, DKIM et DMARC sont trois enregistrements DNS qui prouvent l'authenticité d'un email. SPF liste les serveurs autorisés à envoyer depuis votre domaine. DKIM ajoute une signature cryptographique qui garantit que le message n'a pas été modifié en route. DMARC indique aux serveurs receveurs quoi faire si un email échoue ces deux contrôles (le rejeter, le mettre en quarantaine, ou l'accepter quand même), et vous envoie un rapport.
Les trois se complètent : SPF vérifie l'expéditeur, DKIM vérifie le contenu, DMARC applique une politique en cas d'échec.
À quoi sert chaque protocole, concrètement
| Protocole | Ce qu'il vérifie | Ce qui se passe sans lui |
|---|---|---|
| SPF (Sender Policy Framework) | Le serveur qui envoie l'email est-il autorisé pour ce domaine ? | N'importe qui peut usurper votre domaine dans le champ « De » |
| DKIM (DomainKeys Identified Mail) | Le contenu de l'email a-t-il été altéré entre l'envoi et la réception ? | Impossible de prouver l'intégrité du message |
| DMARC (Domain-based Message Authentication) | Que faire si SPF ou DKIM échoue, et qui prévenir ? | Chaque boîte mail applique sa propre règle, sans cohérence ni visibilité pour vous |
Sans ces trois enregistrements, un serveur mail comme Gmail ou Outlook n'a aucun moyen fiable de distinguer un email légitime venant de votre outil de prospection d'un email frauduleux usurpant votre domaine. Sa réaction par défaut : classer le message en spam, ou le rejeter purement et simplement.
Comment configurer SPF, DKIM et DMARC pas à pas
Les trois se paramètrent dans la zone DNS de votre nom de domaine, chez votre hébergeur ou registrar (OVH, Gandi, Cloudflare...). Aucune compétence en développement n'est nécessaire, mais une erreur de syntaxe peut casser l'envoi de tous vos emails — testez toujours après modification.
- SPF : ajoutez un enregistrement TXT du type
v=spf1 include:_spf.votrefournisseur.com ~all, en listant tous les services qui envoient des emails en votre nom (outil de prospection, CRM, plateforme d'emailing marketing). Chaque service oublié dans la liste risque d'être rejeté. - DKIM : votre fournisseur d'emailing ou de messagerie génère une paire de clés et vous fournit un enregistrement TXT à coller dans le DNS (souvent sous la forme
selecteur._domainkey.votredomaine.com). La signature se fait ensuite automatiquement à chaque envoi. - DMARC : ajoutez un enregistrement TXT sur
_dmarc.votredomaine.com, du typev=DMARC1; p=quarantine; rua=mailto:rapports@votredomaine.com. Commencez parp=nonepour observer les rapports sans impact, puis passez progressivement àp=quarantinepuisp=rejectune fois sûr que tous vos services légitimes sont bien couverts par SPF et DKIM. - Vérifiez avec un outil de test DNS en ligne que les trois enregistrements sont bien propagés (comptez jusqu'à 48h pour une propagation complète) avant de lancer une campagne à volume.
Pourquoi c'est devenu incontournable pour la prospection B2B
Deux évolutions rendent ces trois réglages non négociables pour qui prospecte par email :
- Les gros fournisseurs de messagerie ont durci leurs règles. Depuis 2024, Gmail et Yahoo appliquent des exigences renforcées d'authentification pour les envois en volume : un domaine sans SPF, DKIM ni DMARC voit ses emails filtrés plus agressivement, indépendamment de la qualité du message.
- Un domaine non authentifié peut être usurpé. Sans SPF ni DKIM, rien n'empêche un tiers d'envoyer des emails frauduleux qui semblent venir de votre entreprise — un risque de réputation qui dépasse la seule prospection.
Concrètement, un domaine correctement configuré part avec une base de confiance solide auprès des serveurs receveurs. Le reste — objet pertinent, personnalisation, volume raisonnable, adresses vérifiées en amont via un outil de vérification d'email — détermine ensuite si vos emails sont ouverts, pas seulement s'ils arrivent. Nous détaillons les méthodes de recherche et de vérification d'adresse dans notre guide pour trouver une adresse mail professionnelle.
FAQ
Faut-il configurer les trois protocoles, ou un seul suffit-il ?
Les trois sont complémentaires. SPF seul reste contournable, DKIM seul ne dit rien sur qui a le droit d'envoyer, et DMARC sans SPF ni DKIM n'a rien à vérifier. Une authentification solide combine les trois.
SPF, DKIM et DMARC suffisent-ils à éviter le dossier spam ?
Non. Ils sont un prérequis, pas une garantie. Un domaine bien authentifié qui envoie un volume trop élevé, à une liste d'adresses non vérifiées ou avec un contenu perçu comme du spam, finit quand même filtré. L'authentification et l'hygiène de la base de contacts jouent des rôles différents et complémentaires.
Faut-il un domaine dédié pour la prospection à froid ?
C'est une pratique courante pour protéger le domaine principal de l'entreprise : un sous-domaine (mail.votredomaine.com) ou un domaine annexe, configuré avec ses propres SPF/DKIM/DMARC, isole la réputation d'envoi des campagnes de prospection de celle des emails transactionnels ou internes.
Une bonne délivrabilité commence par un domaine bien configuré, mais elle dépend aussi de la qualité des adresses que vous ciblez. Créez votre compte gratuit Enrich-CRM — 100 crédits par mois, sans carte bancaire — pour vérifier vos contacts avant de les intégrer à une séquence.