SPF, DKIM et DMARC : ce que c'est, comment les configurer et que faire si les e-mails de votre entreprise n'arrivent pas (le cas d'Outlook.com)

Publié le 11 novembre 2026 · L'équipe mitza.es

« Mon e-mail n'arrive pas chez le client » est l'un des problèmes informatiques les plus fréquents dans une PME, et il a presque toujours la même racine : le serveur qui reçoit le message ne peut pas vérifier qu'il vient bien de votre domaine. Cette vérification repose sur trois enregistrements DNS : SPF, DKIM et DMARC. Début novembre 2026, le sujet a fait le tour de la presse technologique à cause de ce qui s'est passé avec Outlook.com. Nous résumons ce qui s'est passé, ce qu'est chaque enregistrement et comment les configurer avec bon sens.

Ce qui s'est passé avec Outlook.com en novembre 2026

À partir du 5 ou du 6 novembre, des administrateurs de petits domaines ont commencé à constater des rejets sur les e-mails envoyés vers des adresses Outlook.com, Hotmail.com et Live.com, avec des messages comme 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records. La publication allemande heise l'a relié à des domaines sans enregistrement DMARC, avec des rejets même lorsque SPF et DKIM étaient corrects et des cas intermittents. Dans le fil de la communauté Microsoft, des administrateurs de Microsoft 365 et de domaines qui avaient déjà DMARC ont aussi témoigné.

La version de Microsoft, selon un modérateur de son forum (incident EX1545193), est différente : le problème venait d'« une mise à jour récente des règles d'application antispam » qui a identifié par erreur comme des violations de SPF certains e-mails légitimes. Microsoft a annulé la modification et, le 10 novembre, le service figurait comme rétabli. De plus, Microsoft n'a annoncé aucune exigence générale de DMARC pour les petits expéditeurs : ce qui reste en vigueur depuis mai 2025, c'est l'obligation d'avoir SPF, DKIM et DMARC (au moins p=none) pour les domaines qui envoient plus de 5 000 messages par jour. Dans son propre guide, Microsoft indique que les petits expéditeurs « bénéficient » de ces bonnes pratiques, sans les imposer.

Que reste-t-il de tout cela ? Que publier un DMARC minimal est une assurance bon marché et que, si vos e-mails sont rejetés, il convient de vérifier d'abord les trois enregistrements. Cela dit, l'épisode ne prouve pas que DMARC était la cause dans tous les cas : l'explication même de Microsoft parle d'une erreur de ses règles antispam.

Ce que sont SPF, DKIM et DMARC, en langage simple

• SPF (Sender Policy Framework) : une liste, publiée dans le DNS de votre domaine, des serveurs autorisés à envoyer des e-mails en votre nom. C'est comme une liste de facteurs autorisés.
• DKIM (DomainKeys Identified Mail) : une signature numérique ajoutée à chaque message. Le destinataire la vérifie avec une clé publique que vous publiez dans le DNS, et sait ainsi que le message vient bien de qui il prétend et qu'il n'a pas été altéré en chemin.
• DMARC : la politique qui relie les deux. Elle indique au destinataire quoi faire si SPF ou DKIM ne correspondent pas à l'adresse « De : » visible (rien, quarantaine ou rejet) et où vous envoyer des rapports. C'est ici qu'intervient l'idée d'alignement : le domaine qui s'authentifie doit correspondre à celui que voit le destinataire.

Les trois sont publiés sous forme d'enregistrements de type TXT (ou CNAME, pour DKIM selon le prestataire) dans la zone DNS de votre domaine. Si vous les avez déjà croisés rapidement dans notre guide Google Workspace ou Microsoft 365 pour la messagerie professionnelle, nous les voyons ici plus en détail.

À quoi ressemblent les enregistrements

Exemples avec un domaine fictif (remplacez votredomaine.com par le vôtre) :

SPF

Un seul enregistrement TXT à la racine du domaine. Pour Microsoft 365, il ressemble généralement à ceci, et pour Google Workspace le service inclus change :

votredomaine.com.   TXT   "v=spf1 include:spf.protection.outlook.com -all"
votredomaine.com.   TXT   "v=spf1 include:_spf.google.com ~all"   (Google Workspace : l'un ou l'autre, pas les deux)

Il ne peut y avoir qu'un seul enregistrement SPF par domaine, et SPF admet au maximum 10 requêtes DNS : si vous ajoutez beaucoup de services, il faut les fusionner dans le même enregistrement. ~all indique un « échec souple » et -all un « échec strict » ; commencez par le premier si vous n'êtes pas sûr.

DKIM

Il ne s'écrit pas à la main : il est généré dans la console de votre service de messagerie (Google Workspace, Microsoft 365, votre outil de newsletters, votre boutique en ligne…) et on vous donne un ou deux enregistrements à publier dans le DNS. Il faut l'activer dans chaque service qui envoie des e-mails avec votre domaine.

DMARC

Un enregistrement TXT sur le sous-domaine _dmarc. Le minimum pour commencer, avec des rapports envoyés à une boîte qui vous appartient :

_dmarc.votredomaine.com.   TXT   "v=DMARC1; p=none; rua=mailto:[email protected]"

p=none ne change rien à ce qu'il advient de vos e-mails : il demande seulement des rapports. rua est l'adresse qui recevra les rapports agrégés. Un enregistrement DMARC ne garantit pas que tout passe : en outre, SPF ou DKIM doivent être alignés avec le domaine visible.

Comment le configurer pas à pas

1. Dressez la liste de tout ce qui envoie des e-mails avec votre domaine : votre service de messagerie, le site web (les formulaires de contact), la boutique en ligne, l'outil de facturation, le CRM, les newsletters.
2. Publiez un seul enregistrement SPF qui inclut tous ces services.
3. Activez DKIM dans chaque service et publiez ses enregistrements.
4. Publiez DMARC avec p=none et rua. Ainsi, vous commencez à recevoir des rapports sans risquer vos e-mails légitimes.
5. Examinez les rapports pendant deux à quatre semaines (ils peuvent être longs à lire ; des services gratuits les résument) pour repérer des services qui envoient en votre nom et que vous aviez oubliés.
6. Durcissez la politique progressivement : de p=none à p=quarantine puis, quand tout est propre, à p=reject. Microsoft et les spécialistes s'accordent pour avancer par étapes.

Comment vérifier que cela fonctionne

• Interrogez les enregistrements : sous Windows, nslookup -type=txt _dmarc.votredomaine.com ; sous Linux ou macOS, dig TXT _dmarc.votredomaine.com. Changez le nom pour vérifier SPF et DKIM.
• Envoyez-vous un e-mail de test vers un compte Gmail et ouvrez le message avec l'option « Afficher l'original » : SPF, DKIM et DMARC doivent apparaître en « PASS ».
• Regardez l'en-tête Authentication-Results des e-mails que vous recevez d'autres expéditeurs : c'est là que chaque serveur note si la vérification a réussi.
• Testez avec différentes destinations : Gmail, Outlook.com et le compte d'un client.

Si vos e-mails sont rejetés ou vont dans les spams

1. Lisez le code du rejet. Le texte de l'erreur (par exemple, 550 5.7.1 ou 5.7.515) indique quelle vérification a échoué et qui l'a rejeté.
2. Vérifiez les trois enregistrements avec les contrôles ci-dessus et corrigez ce qui échoue : un SPF en double et un service oublié sont des causes fréquentes.
3. Ne renvoyez pas en boucle le même e-mail : cela dégrade la réputation de votre domaine.
4. Conservez des preuves (le message de rejet complet, l'identifiant du message et un exemple au format .eml) afin de pouvoir contacter le support du destinataire, ce que le modérateur de Microsoft a recommandé dans le cas de novembre.
5. Si le problème est intermittent et que vos enregistrements sont corrects, il peut venir du fournisseur destinataire, comme celui que Microsoft a annulé le 10 novembre : patientez, refaites le test et consultez l'état du service.

Erreurs courantes

• Publier deux enregistrements SPF sur le même domaine : le résultat est une erreur permanente et SPF cesse de valider.
• Oublier des services qui envoient des e-mails en votre nom : facturation, CRM, newsletters, le site web lui-même.
• Passer à -all ou à p=reject sans avoir d'abord examiné les rapports.
• Envoyer les formulaires de contact du site web avec la fonction d'envoi du serveur, sans authentification : il vaut mieux utiliser un envoi authentifié (SMTP) ou un service autorisé dans SPF et DKIM.
• Ne pas protéger les sous-domaines ou les domaines que vous n'utilisez pas pour la messagerie.

Au-delà de la distribution : éviter que l'on usurpe votre domaine

Avec DMARC en quarantine ou reject, les faux e-mails qui utilisent votre domaine ont plus de mal à arriver dans la boîte de réception de leur destinataire, ce qui complique des fraudes comme celles que nous expliquons dans les arnaques qui usurpent votre boutique en ligne ou dans la fraude au changement d'IBAN. Cela n'élimine pas le risque, car les attaquants peuvent aussi utiliser des domaines ressemblant au vôtre, mais cela ferme une porte très courante.

Ce qu'exigent Google, Yahoo et Microsoft

• Google et Yahoo : depuis 2024, SPF, DKIM et DMARC pour quiconque envoie plus de 5 000 messages par jour à leurs utilisateurs.
• Microsoft (Outlook.com) : depuis mai 2025, SPF, DKIM et DMARC avec au moins p=none pour les domaines qui envoient plus de 5 000 messages par jour. Selon sa note, les e-mails non conformes seraient d'abord envoyés dans le dossier des courriers indésirables puis rejetés plus tard, à une date encore à annoncer. Pour les autres expéditeurs, ce n'est pas obligatoire, mais c'est recommandé.
• Si votre entreprise envoie des newsletters ou des campagnes à de nombreux destinataires, même si vous n'atteignez pas ce chiffre vous-même, le service d'envoi que vous utilisez peut, lui, être soumis à ces exigences.

Questions rapides

DMARC est-il obligatoire pour une PME ?

Il n'y a pas d'obligation générale pour les petits volumes, mais c'est une pratique recommandée et de plus en plus courante. Avec p=none, vous commencez sans risque.

DMARC peut-il me faire perdre des e-mails ?

Avec p=none, non. Le risque apparaît en passant à quarantine ou reject s'il existe des services légitimes non autorisés. C'est pourquoi on examine d'abord les rapports.

Combien de temps faut-il pour qu'une modification du DNS soit prise en compte ?

Cela dépend de la durée de mise en cache (TTL) de l'enregistrement. Cela peut aller de quelques minutes à quelques heures ; parfois, un peu plus.

Dois-je le faire moi-même ou est-ce mon fournisseur de messagerie qui s'en charge ?

L'enregistrement se publie dans le DNS de votre domaine, cela dépend donc de qui le gère (votre prestataire de nom de domaine, d'hébergement ou d'informatique). Si vous ne savez pas qui c'est, vous avez un guide dans nom de domaine et hébergement : ce que c'est et comment choisir.

Comment Mitza peut vous aider

Nous examinons les enregistrements de votre domaine, nous configurons SPF, DKIM et DMARC de façon progressive et nous vérifions que tout ce qui envoie des e-mails en votre nom est autorisé. Consultez notre service de maintenance informatique pour PME ou exposez-nous votre cas depuis la page de contact.

À lire aussi : comment lire un avis de sécurité et les faux SMS de la DGT, de Correos et du fisc.