Sécurité email SaaS : SPF, DKIM, DMARC — protège ton domaine d'envoi
SPF, DKIM et DMARC aident les serveurs destinataires à vérifier que les messages associés à ton domaine sont autorisés et authentifiés. Configure-les avec soin, observe les rapports et augmente les mesures de protection progressivement pour éviter de bloquer des envois légitimes.
Les problèmes d'authentification peuvent compliquer la remise d'un email, même lorsque son contenu est pertinent. SPF indique quels services peuvent envoyer au nom de ton domaine, DKIM ajoute une signature vérifiable au message et DMARC précise comment traiter les messages qui ne passent pas les contrôles et où transmettre les rapports. Ces réglages se font dans le DNS et doivent correspondre aux services qui expédient réellement tes emails.
Avant de modifier les enregistrements, dresse la liste des outils utilisés pour les campagnes, les notifications produit, la facturation et le support. Un même domaine peut servir à plusieurs flux, et un expéditeur oublié peut être affecté par une politique plus stricte. Procède par étapes : confirme l'alignement des domaines, examine les rapports disponibles, corrige les sources légitimes, puis décide si et quand renforcer la politique DMARC.
| Protocole | Rôle | Configuration | Impact délivrabilité |
|---|---|---|---|
| SPF | Déclare les services autorisés à expédier des messages pour ton domaine | Enregistrement DNS TXT préparé avec les expéditeurs utilisés | Aide le destinataire à vérifier l'autorisation de l'expéditeur |
| DKIM | Associe au message une signature que le serveur destinataire peut vérifier | Clé publique publiée dans le DNS, clé privée gardée par le service | Permet de contrôler l'intégrité et l'origine du message |
| DMARC | Indique le traitement souhaité lorsque l'authentification échoue et reçoit des rapports | Enregistrement DNS avec une politique adaptée à ton déploiement | Coordonne les contrôles SPF et DKIM avec l'alignement du domaine |
| BIMI | Peut associer un logo à certains messages authentifiés selon les règles applicables | Prépare les éléments de marque et vérifie les conditions de prise en charge | Option de présentation, distincte des réglages fondamentaux d'authentification |
| List-Unsubscribe | Transmet une option de désabonnement exploitable depuis certains clients mail | Configure les en-têtes et le traitement des demandes de retrait | Facilite le retrait pour les messages marketing concernés |
| MX et réception | Dirige les emails entrants vers le service qui gère ton domaine | Configure les enregistrements selon le fournisseur de messagerie choisi | À vérifier si ton domaine sert aussi à recevoir des réponses |
| Transport chiffré | Protège le transfert entre serveurs compatibles avec le chiffrement | Vérifie les capacités de ton prestataire d'envoi et de réception | Complète l'authentification sans la remplacer |
Postmark
Postmark Basic : 15 $ par mois pour 10 000 emails mensuels.
Postmark propose un service d'envoi transactionnel. Son plan Basic convient à une équipe qui veut séparer les notifications produit des campagnes marketing ; vérifie les options d'authentification et les limites du plan avant de migrer un flux existant.
SendGrid
SendGrid Essentials : 19,95 $ par mois pour le palier de 50 000 à 100 000 emails mensuels.
SendGrid couvre des besoins d'envoi transactionnel et marketing. Son plan Essentials s'adresse aux équipes dont le volume entre dans le palier indiqué ; compare les outils de diagnostic et les options de gestion des flux à ton architecture avant de retenir ce service.
DMARC est-il vraiment obligatoire pour envoyer des emails SaaS en 2026 ?
La politique nécessaire dépend de tes flux, des exigences des destinataires et de la configuration de ton domaine. Une politique de surveillance permet d'abord d'observer les rapports sans demander le rejet des messages non conformes. Après avoir identifié et corrigé les expéditeurs légitimes, tu peux envisager une politique plus stricte. Vérifie les consignes actuelles des fournisseurs auxquels tu envoies et ne passe pas à une règle de rejet sans comprendre les sources présentes dans les rapports.
Comment vérifier que SPF et DKIM sont correctement configurés ?
Consulte les enregistrements DNS publiés et compare-les aux valeurs fournies par chacun de tes expéditeurs. Envoie un message de contrôle vers une boîte que tu peux inspecter, puis regarde ses en-têtes pour confirmer les résultats d'authentification. Les consoles DNS et les outils de diagnostic peuvent aider à repérer une erreur de syntaxe, mais le tableau de bord du prestataire ne remplace pas l'inventaire de tous tes flux ni la lecture des rapports DMARC.
IP dédiée vs partagée : quelle différence pour la sécurité ?
Une IP partagée sert plusieurs expéditeurs et une IP dédiée isole davantage la configuration d'envoi, mais aucune option ne garantit à elle seule la remise en boîte de réception. Une IP dédiée demande aussi une gestion cohérente du volume et de la réputation. Demande au fournisseur comment ses adresses sont attribuées, quels outils de suivi sont disponibles et si ton volume ainsi que tes pratiques justifient une IP séparée. SPF, DKIM et DMARC restent à configurer dans les deux cas.
Sécurise ton domaine dès aujourd'hui
Vérifie tes enregistrements DNS, passe le DMARC en mode surveillance, puis enchaîne p=quarantine une fois les rapports propres — et surveille-les avant de passer en p=reject.
Cinq contrôles avant de renforcer l'authentification
| Critère | Question à se poser | Red flag |
|---|---|---|
| 1. Inventaire des expéditeurs | As-tu recensé chaque outil qui envoie pour ton domaine, y compris le support et la facturation ? | Un ancien prestataire reste autorisé ou un flux actif manque à l'inventaire DNS |
| 2. Alignement des domaines | Les domaines utilisés par SPF, DKIM et l'adresse visible concordent-ils avec ta politique DMARC ? | Des services légitimes signent avec un domaine non aligné ou non documenté |
| 3. Lecture des rapports | Peux-tu relier les sources visibles dans les rapports aux outils réellement utilisés par tes équipes ? | Tu appliques une politique stricte avant d'avoir identifié les sources inconnues |
| 4. Gestion des désabonnements | Les campagnes marketing transmettent-elles List-Unsubscribe et respectent-elles les demandes de retrait ? | Un contact doit chercher le lien ou écrire au support pour arrêter les campagnes |
| 5. Déploiement progressif | As-tu un plan pour corriger les sources puis renforcer la politique sans interrompre les messages attendus ? | Le passage en rejet se fait sans suivi ni procédure de retour arrière |
Autres questions fréquentes
Combien de temps avant de voir des résultats concrets ?
Le délai dépend de la propagation DNS, des outils qui envoient pour ton domaine et de la correction des éventuelles erreurs. Commence par inventorier les expéditeurs et comparer leurs réglages aux enregistrements publiés. Observe ensuite les résultats d'authentification et les rapports disponibles avant de changer la politique DMARC. Prévois un délai de suivi après chaque modification, et évite de considérer un seul message de contrôle comme une validation de tous les flux.
Quel budget prévoir pour démarrer ?
Le budget varie selon le volume, les fonctions nécessaires et le prestataire d'envoi. Postmark Basic coûte 15 $ par mois pour 10 000 emails mensuels. SendGrid Essentials est affiché à 19,95 $ par mois pour le palier de 50 000 à 100 000 emails mensuels. Vérifie si des options, des dépassements ou des services DNS s'ajoutent à l'abonnement. Les enregistrements d'authentification sont configurés dans le DNS, indépendamment du prix du logiciel d'envoi.
Quelle est la première erreur à éviter ?
L'erreur à éviter est de durcir DMARC avant d'avoir recensé les outils légitimes qui expédient pour ton domaine. Un service oublié peut échouer à l'authentification et voir ses messages traités selon la politique publiée. Centralise les propriétaires des flux, examine les rapports, corrige SPF et DKIM, puis renforce progressivement la règle. Garde une procédure de retour arrière et surveille les changements après chaque étape.
Les erreurs classiques à éviter
Une configuration DNS devient fragile lorsqu'aucune personne ne sait pourquoi un enregistrement est présent. Note pour chaque expéditeur le propriétaire interne, le domaine de signature et la raison d'utilisation. Retire les autorisations obsolètes après avoir confirmé qu'aucun workflow ne dépend encore de l'ancien service. Cette documentation facilite les changements de prestataire et évite qu'une politique DMARC soit assouplie durablement pour compenser une source oubliée.
Ta checklist de mise en œuvre
- ✓ Les services qui envoient pour chaque domaine sont recensés avec un responsable
- ✓ Les enregistrements SPF et DKIM correspondent aux expéditeurs actifs
- ✓ La politique DMARC et sa destination de rapports sont documentées
- ✓ Les campagnes incluent une option de retrait adaptée, dont List-Unsubscribe lorsque requis
- ✓ Une personne sait examiner les rapports et appliquer les changements DNS
Le calendrier réaliste de mise en œuvre
Pour mettre en place les contrôles, commence par exporter ou relever les enregistrements DNS existants. Demande ensuite à chaque fournisseur les valeurs SPF et DKIM prévues, puis compare les domaines de signature au domaine utilisé dans tes messages. Configure une destination de rapports DMARC accessible à l'équipe responsable. Après publication, vérifie les résultats avec un message de contrôle et les rapports reçus. Renforce la politique lorsque les flux attendus sont compris et que les erreurs sont corrigées ; consigne chaque modification afin de pouvoir la diagnostiquer.
Ce que ce guide ne peut pas décider à ta place
Les valeurs DNS exactes dépendent de tes prestataires et de la façon dont ton organisation sépare les domaines d'envoi. Demande leurs consignes actuelles, puis vérifie comment les changements affectent chaque flux avant d'appliquer une politique commune. Les pratiques des fournisseurs de boîtes de réception évoluent ; consulte leurs exigences destinées aux expéditeurs lorsque tu prépares une migration ou une nouvelle campagne. Pour une configuration complexe, fais relire les enregistrements par la personne qui administre ton domaine.
Questions fréquentes (suite)
Comment documenter son système email pour l'équipe ?
Tiens un registre des domaines, des enregistrements publiés, des prestataires associés et de la personne qui les maintient. Ajoute la date des changements, la politique DMARC active et l'endroit où arrivent les rapports. Lors d'un départ ou d'une migration, cette fiche permet de vérifier les accès et de retirer une autorisation seulement après confirmation. Conserve aussi la procédure de contrôle utilisée pour valider les nouveaux expéditeurs.
Comment gérer les périodes creuses sans tout couper ?
Avant d'interrompre une campagne, identifie les automatisations et notifications qui dépendent du même domaine. Les messages transactionnels peuvent rester nécessaires même lorsque les promotions sont en pause. Vérifie que les adresses de réponse et les demandes de désabonnement continuent d'être traitées, puis informe l'équipe des flux suspendus. Si tu reprends les envois plus tard, contrôle à nouveau les domaines d'expédition et les paramètres d'authentification.