Pourquoi vos e-mails professionnels finissent en spam (et comment configurer SPF, DKIM et DMARC)

1. Le problème : le protocole e-mail historique ne vérifie pas l’identité de l’expéditeur

Par défaut, le protocole SMTP (créé dans les années 1980) fonctionne comme une lettre postale sur laquelle n’importe qui pourrait inscrire votre adresse au dos de l’enveloppe. Face à l’explosion du phishing et des fausses factures, les grands opérateurs (Google/Gmail, Microsoft/Outlook, Yahoo, Orange) ont considérablement durci leurs filtres de réception.

Résultat : lorsqu’un indépendant ou une TPE achète un nom de domaine ou connecte son site web / son logiciel de facturation pour envoyer des devis sans configurer sa zone DNS, ses messages légitimes sont considérés comme suspects et envoyés directement dans les spams de ses clients.

2. Les trois piliers expliqués simplement : SPF, DKIM et DMARC

Ces trois mécanismes prennent la forme d’enregistrements texte (TXT ou CNAME) publiés dans la zone DNS de votre nom de domaine :

• SPF (Sender Policy Framework) : c’est la liste officielle des serveurs autorisés à expédier du courrier pour votre domaine. Attention toutefois : un domaine ne doit comporter qu’un seul enregistrement SPF valide ; créer deux lignes v=spf1 distinctes invalide les deux !

• DKIM (DomainKeys Identified Mail) : votre serveur de messagerie signe chaque e-mail envoyé avec une clé privée secrète, et le serveur de votre client vérifie cette signature grâce à la clé publique publiée dans votre DNS. Cela garantit aussi que le contenu du message n’a pas été modifié en chemin.

• DMARC (Domain-based Message Authentication, Reporting & Conformance) : il relie SPF et DKIM au domaine affiché dans le champ « De : » visible par votre destinataire, et définit la consigne de sécurité (none pour observer, quarantine pour mettre en spam les usurpations, ou reject pour les bloquer).

• Un seul enregistrement SPF fusionnant votre messagerie principale et, si nécessaire, votre outil de facturation.
• Une clé DKIM de 2048 bits activée et signant effectivement les messages sortants.
• Un enregistrement DMARC actif sur _dmarc.votre-domaine.fr.
• Une cohérence entre l’adresse d’expédition de votre site web (formulaire de contact) et votre serveur SMTP.

3. Pourquoi vérifier aussi l’envoi depuis votre site internet ou votre logiciel de devis ?

Même lorsque la boîte mail principale est bien réglée, beaucoup d’entreprises oublient que leur site internet ou leur logiciel de gestion envoie lui aussi des e-mails avec leur adresse @entreprise.fr. Si ce serveur tiers n’est pas authentifié par SMTP ou déclaré, ces notifications seront rejetées.

Lors d’une intervention sur votre messagerie professionnelle, JASS audite l’ensemble de vos flux d’envoi et teste concrètement les en-têtes cryptographiques reçus.