SPF, DKIM et DMARC : authentifier ses e-mails

À quoi servent SPF, DKIM et DMARC

Ce sont trois mécanismes d’authentification de l’expéditeur d’un e-mail, publiés dans le DNS du domaine d’envoi. Ils permettent aux messageries de vérifier qu’un message vient bien du domaine qu’il affiche.

• SPF indique quels serveurs sont autorisés à envoyer des e-mails au nom du domaine.
• DKIM ajoute une signature cryptographique au message, que le destinataire vérifie avec une clé publiée dans le DNS.
• DMARC indique ce que le destinataire doit faire d’un message qui échoue aux vérifications, et exige que le domaine de l’adresse d’expéditeur (From) soit aligné avec celui du SPF ou du DKIM.

Ce qu’exige Gmail depuis le 1er février 2024

Les exigences ci-dessous viennent de la page « Email sender guidelines » de Google, consultée le 02/11/2026.

Pour tous les expéditeurs

• Authentifier les e-mails avec SPF ou DKIM.
• Disposer d’enregistrements DNS inverses (PTR) valides, avec un enregistrement A ou AAAA qui renvoie à la même adresse IP.
• Utiliser une connexion TLS pour la transmission.
• Garder le taux de spam déclaré dans Google Postmaster Tools sous 0,3 %. Le guide de bonnes pratiques recommande de rester sous 0,10 %.
• Respecter le format de message de la norme RFC 5322, et ne pas usurper les en-têtes From de Gmail.

Pour les expéditeurs de masse (plus de 5 000 messages par jour vers Gmail)

• Authentifier avec SPF, DKIM et DMARC. La politique DMARC peut être réglée sur « none ».
• Aligner le domaine de l’en-tête From avec le domaine SPF ou DKIM.
• Proposer aux messages marketing et d’abonnement une désinscription en un clic, avec un lien de désinscription bien visible dans le corps du message.

La désinscription en un clic

Google donne les deux en-têtes à ajouter pour la désinscription en un clic : « List-Unsubscribe-Post: List-Unsubscribe=One-Click » et « List-Unsubscribe: <URL de désinscription> ». La plupart des plateformes d’envoi les ajoutent pour vous : vérifiez dans la documentation de votre outil.

Une clé DKIM d’au moins 1024 bits

La clé DKIM doit faire 1024 bits au minimum. Google recommande 2048 bits si votre hébergeur de DNS le permet.

Où et comment le configurer

SPF, DKIM et DMARC se configurent dans la zone DNS du domaine d’envoi, chez votre registrar ou votre hébergeur, avec les valeurs fournies par votre outil d’envoi. Exemples de forme, avec des valeurs fictives à remplacer :

• SPF (enregistrement TXT) : « v=spf1 include:exemple-envoi.net ~all »
• DMARC (enregistrement TXT sur _dmarc.votre-domaine.fr) : « v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr »

Pour DKIM, c’est votre plateforme d’envoi qui génère la clé publique à publier. Pour mieux comprendre où se situe cette configuration dans la chaîne d’envoi, voir notre guide sur les ports SMTP et celui sur la délivrabilité.

Cette page ne remplace pas les règles des autres messageries

Ces exigences sont celles de Gmail. D’autres messageries ont leurs propres règles : consultez leur documentation d’expéditeur.

Questions fréquentes

SPF et DKIM sont-ils obligatoires ?

Pour envoyer vers Gmail, Google exige SPF ou DKIM de tous les expéditeurs, et SPF, DKIM et DMARC au-delà de 5 000 messages par jour vers Gmail.

Peut-on commencer DMARC avec « p=none » ?

Oui : Google indique que la politique peut être réglée sur « none ».

Quel taux de spam ne faut-il pas dépasser ?

Google demande de rester sous 0,3 % dans Postmaster Tools, et recommande moins de 0,10 %.

Sources

Page consultée le 02/11/2026. Les exigences peuvent évoluer : vérifiez la page de Google avant de configurer votre domaine.

• Google
  « Email sender guidelines »exigences applicables depuis le 1er février 2024