Configurer SPF, DKIM et DMARC sur Microsoft 365 : le guide pour une PME

Un e-mail qui semble venir de votre dirigeant demande un virement urgent. Il n’a jamais été écrit par lui : quelqu’un a simplement utilisé votre nom de domaine comme expéditeur. Rien ne l’en empêchait, parce que trois enregistrements DNS manquaient. Cet article explique ce que sont SPF, DKIM et DMARC, comment les activer sur Microsoft 365, et comment vérifier que tout fonctionne.

Pourquoi c’est le premier chantier de sécurité d’une PME

Sans ces trois protections, n’importe qui peut envoyer des e-mails au nom de votre-entreprise.fr. Les serveurs destinataires n’ont aucun moyen de distinguer vos vrais messages des faux. C’est le point de départ de la fraude au président, du détournement de factures et du hameçonnage ciblé sur vos clients.

Il y a une seconde raison, plus prosaïque : depuis 2024, Google et Yahoo rejettent ou classent en spam les messages des expéditeurs qui n’ont pas au minimum SPF ou DKIM, et une politique DMARC. Microsoft applique des exigences comparables aux expéditeurs en volume. Autrement dit, sans ces réglages, vos propres e-mails légitimes arrivent moins bien.

Les trois enregistrements, en une phrase chacun

• SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine.
• DKIM signe chaque message avec une clé cryptographique, ce qui prouve qu’il n’a pas été modifié en route et qu’il vient bien de chez vous.
• DMARC dit aux destinataires quoi faire quand un message échoue aux deux contrôles précédents (rien, quarantaine ou rejet), et vous envoie des rapports.

SPF et DKIM authentifient. DMARC décide et rend compte. Les trois sont nécessaires : SPF seul est contourné par les transferts, DKIM seul ne dit pas quoi faire en cas d’échec.

Étape 1 : SPF

Dans la zone DNS de votre domaine, créez un enregistrement TXT sur la racine du domaine :

v=spf1 include:spf.protection.outlook.com -all

Trois points de vigilance :

• Un seul enregistrement SPF par domaine. Deux enregistrements se contredisent et SPF devient invalide.
• Ajoutez chaque service qui envoie en votre nom : outil d’emailing, logiciel de facturation, formulaire de site web. Chacun fournit son propre include:.
• Dix include maximum (limite de recherches DNS). Au-delà, SPF échoue silencieusement.

Le -all final indique un échec strict. Commencez par ~all (échec souple) si vous n’êtes pas certain d’avoir listé tous vos expéditeurs, puis passez en -all après quelques semaines de rapports DMARC.

Étape 2 : DKIM

Sur Microsoft 365, DKIM se configure dans le portail Microsoft Defender, rubrique Email & collaboration > Policies & rules > Threat policies > DKIM. Sélectionnez votre domaine : Microsoft affiche deux enregistrements CNAME à créer dans votre zone DNS, nommés selector1._domainkey et selector2._domainkey. Une fois les CNAME propagés (de quelques minutes à quelques heures), activez la signature avec le bouton prévu.

Si votre messagerie est chez un autre hébergeur (OVH, Gandi, Google Workspace), la procédure est équivalente : l’hébergeur fournit les enregistrements, vous les ajoutez au DNS, vous activez.

Chaque service tiers qui envoie en votre nom doit aussi signer en DKIM avec ses propres sélecteurs. Sinon ses messages échoueront à DMARC.

Étape 3 : DMARC, en trois temps

Créez un enregistrement TXT sur _dmarc.votre-domaine.fr. Commencez en mode surveillance :

v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr

p=none ne bloque rien. L’adresse rua reçoit chaque jour des rapports agrégés (fichiers XML) qui listent qui envoie en votre nom et avec quel résultat. Lisez-les pendant trois à quatre semaines, avec un outil gratuit de visualisation si besoin. Vous découvrirez souvent un expéditeur oublié : la photocopieuse, l’outil RH, l’ancien prestataire.

Quand tous vos expéditeurs légitimes passent, durcissez :

v=DMARC1; p=quarantine; rua=mailto:dmarc@votre-domaine.fr; sp=quarantine

Puis, après quelques semaines sans anomalie, p=reject. C’est à ce stade seulement que l’usurpation de votre domaine est bloquée. Le paramètre sp= applique la même politique aux sous-domaines, souvent oubliés et donc exploités.

Les erreurs qu’on rencontre le plus souvent

• Passer directement en p=reject sans phase d’observation : les factures envoyées par le logiciel de gestion disparaissent du jour au lendemain.
• Un SPF qui liste le serveur du site web mais pas celui de l’outil d’emailing, ou l’inverse.
• DKIM configuré mais jamais activé : les CNAME existent, la signature est restée sur « désactivé ».
• Aucun DMARC sur les domaines secondaires (l’ancienne marque, le .com acheté par précaution). Un domaine qui n’envoie jamais d’e-mail mérite v=spf1 -all et p=reject d’emblée.
• Des rapports DMARC qui arrivent dans une boîte que personne ne lit.

Vérifier en deux minutes

Envoyez un e-mail à l’adresse temporaire fournie par un testeur en ligne (mail-tester.com, par exemple) et lisez le résultat : SPF, DKIM et DMARC doivent tous afficher pass. Dans Outlook ou Gmail, l’option « Afficher l’original » d’un message reçu montre aussi la ligne Authentication-Results avec les trois verdicts.

Vous préférez qu’on regarde pour vous ? Le diagnostic mail gratuit de LR46 contrôle ces trois points sur votre domaine et vous envoie le résultat sous deux jours ouvrés. Et si la configuration complète vous semble lourde, elle fait partie du socle de sécurité Microsoft 365.