Comment corriger SPF, DKIM et DMARC

Le rôle de chaque enregistrement

• SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine.
• DKIM ajoute une signature qui prouve qu’un message n’a pas été modifié et qu’il provient bien de votre domaine.
• DMARC indique aux serveurs destinataires quoi faire lorsqu’un message échoue, et vous envoie des rapports.

Commencez par analyser votre domaine avec le Vérificateur DNS e-mail pour voir lequel des trois nécessite une correction. Google et Yahoo exigent désormais ces enregistrements des expéditeurs en volume, donc leur absence peut nuire à la délivrabilité.

Corriger SPF

SPF est un seul enregistrement TXT sur votre domaine racine. Il liste chaque service qui envoie vos e-mails :

v=spf1 include:_spf.google.com ~all

Utilisez la valeur include fournie par votre prestataire. Les erreurs courantes sont :

• Deux enregistrements SPF. Un domaine ne doit en avoir qu’un. Fusionnez-les : v=spf1 include:_spf.google.com include:sendgrid.net ~all.
• Trop de recherches. SPF autorise 10 recherches DNS. Chaque include compte, ainsi que ceux qu’il contient. Supprimez les services que vous n’utilisez plus.
• Un expéditeur oublié. Les newsletters, factures et formulaires de contact partent souvent depuis d’autres services. Ajoutez-les tous.

Corriger DKIM

Vous n’écrivez pas DKIM vous-même. Votre fournisseur de messagerie génère une clé, que vous publiez à une adresse de ce type :

selector._domainkey.example.com

Trouvez le réglage DKIM dans l’espace d’administration de votre fournisseur, copiez l’enregistrement fourni, puis activez la signature à cet endroit. Si un contrôle indique que DKIM est absent, il suffit parfois d’utiliser le bon sélecteur, qui varie selon le fournisseur. Pour le vérifier, envoyez-vous un e-mail et analysez ses en-têtes avec l’Analyseur d’en-têtes e-mail. Recherchez dkim=pass.

Corriger DMARC

Ajoutez un enregistrement TXT sur _dmarc.example.com. Commencez en mode surveillance, qui ne modifie en rien la délivrance des messages :

v=DMARC1; p=none; rua=mailto:dmarc@example.com

Passez aux niveaux supérieurs par étapes, une fois que les rapports montrent que vos e-mails légitimes passent :

1. p=none : surveillez les rapports pendant quelques semaines.
2. p=quarantine : les messages en échec sont envoyés dans les spams.
3. p=reject : les messages en échec sont refusés.

Ne passez pas directement à p=reject. Si un service que vous utilisez n’est pas encore couvert par SPF et DKIM, ses e-mails disparaîtront.

Vérifier le résultat

Les modifications DNS peuvent prendre du temps pour se propager. Utilisez donc d’abord le Vérificateur de propagation DNS, puis relancez le Vérificateur DNS e-mail. Pour le test final, envoyez un vrai e-mail et confirmez que SPF, DKIM et DMARC passent tous dans ses en-têtes.