En quelques mots
- SPF, DKIM et DMARC décident de l'arrivée de vos messages avant tout contenu.
- SPF échoue au-delà de dix résolutions DNS ; DMARC se déploie de l'observation au rejet en trois à six mois.
- Google et Yahoo exigent un taux de plainte sous 0,3 % pour les expéditeurs en volume.
- Dans un canal saturé d'automatisation, sortir du motif redevient un avantage de délivrabilité.
Le socle technique, sans lequel rien ne fonctionne
Commençons par ce qui décide de tout, avant même le contenu. Trois mécanismes d'authentification travaillent ensemble.
SPF déclare, dans votre zone DNS, quels serveurs sont autorisés à envoyer pour votre domaine. Une limite technique le contraint : la vérification ne doit pas dépasser dix résolutions DNS, faute de quoi elle échoue. Les entreprises qui accumulent les outils d'envoi dépassent ce seuil sans s'en apercevoir.
DKIM signe cryptographiquement chaque message. La signature prouve que le contenu n'a pas été altéré en transit et qu'il provient bien du domaine annoncé. Une clé de 2048 bits est aujourd'hui le minimum raisonnable.
DMARC s'appuie sur les deux précédents et ajoute l'élément décisif : l'alignement. Il vérifie que le domaine visible par le destinataire correspond bien à celui authentifié. C'est ce contrôle qui bloque l'usurpation, et c'est celui que la plupart des configurations ratent.