DKIM et SPF : authentifier vos e-mails pour ne plus finir en spam

Par Mouhamed BANKOLE, CEO chez ITNET Technologies · Mis à jour le 27 octobre 2026 · Lecture : 9 min

Vos devis arrivent dans les spams de vos clients, ou un fournisseur vous demande « votre DKIM est-il configuré ? » sans que vous sachiez quoi répondre. Dans les deux cas, le problème vient presque toujours de l'authentification de vos e-mails. Ce guide explique ce que sont DKIM et SPF, pourquoi Gmail et les autres messageries les exigent désormais, comment publier les enregistrements DNS pas à pas et comment vérifier qu'ils fonctionnent. Vous saurez aussi repérer les erreurs qui les font échouer sans prévenir.

En résumé

• DKIM signe chaque e-mail envoyé avec une clé privée ; le destinataire vérifie la signature grâce à la clé publique publiée dans le DNS de votre domaine.
• SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine, dans un enregistrement TXT du DNS.
• Gmail exige au moins l'un des deux pour tous les expéditeurs, et les deux, plus DMARC, pour les gros volumes.
• La mise en place tient en deux enregistrements DNS : un TXT SPF à la racine du domaine et un TXT DKIM sous un sélecteur fourni par votre messagerie.
• Un test gratuit suffit à vérifier : l'en-tête d'un e-mail reçu indique « spf=pass » et « dkim=pass » quand tout fonctionne.

Sommaire

1. Qu'est-ce que DKIM ?
2. Qu'est-ce que SPF et en quoi diffère-t-il de DKIM ?
3. Pourquoi DKIM et SPF sont-ils devenus indispensables ?
4. Comment fonctionne une signature DKIM ?
5. Comment créer un enregistrement SPF correct ?
6. Comment activer DKIM sur votre domaine ?
7. Comment tester DKIM et SPF ?
8. Quelles erreurs font échouer SPF ou DKIM ?
9. DKIM et SPF suffisent-ils à ne plus finir en spam ?

Qu'est-ce que DKIM ?

DKIM (DomainKeys Identified Mail) est une méthode d'authentification qui ajoute à chaque e-mail une signature numérique, vérifiable grâce à une clé publique publiée dans le DNS du domaine expéditeur. Elle est définie par l'IETF dans la RFC 6376.

Concrètement, DKIM apporte deux garanties au destinataire :

• l'origine : le message a bien été signé par un serveur autorisé à utiliser votre domaine ;
• l'intégrité : le contenu signé n'a pas été modifié pendant le transport.

DKIM ne chiffre pas le message et ne dit rien de son contenu : il prouve seulement qui l'a signé et qu'il est intact. C'est ce qui permet aux messageries de faire confiance à votre domaine, et de rejeter plus facilement les e-mails qui l'usurpent.

Qu'est-ce que SPF et en quoi diffère-t-il de DKIM ?

SPF (Sender Policy Framework) est un enregistrement DNS qui liste les serveurs autorisés à envoyer des e-mails au nom de votre domaine ; il vérifie le serveur d'envoi, alors que DKIM vérifie le message lui-même. SPF est décrit dans la RFC 7208.

En pratique, les deux se complètent : SPF échoue souvent quand un message est transféré par un autre serveur, DKIM résiste à ce cas. DMARC, qui s'appuie sur les deux, mérite un guide à part entière.

Pourquoi DKIM et SPF sont-ils devenus indispensables ?

Parce que les grandes messageries les exigent : depuis le 1er février 2024, Gmail demande à tous les expéditeurs vers des comptes personnels de configurer SPF ou DKIM, selon ses consignes pour les expéditeurs. Sans authentification, vos e-mails risquent d'être classés en spam, voire refusés.

Ce que ces consignes imposent, d'après la page officielle de Google :

• pour tous les expéditeurs : SPF ou DKIM, une connexion TLS et un taux de spam maintenu sous 0,3 % dans Postmaster Tools (consignes Google) ;
• pour ceux qui envoient plus de 5 000 messages par jour vers Gmail : SPF et DKIM, plus DMARC, et un domaine « De » aligné sur l'un des deux (consignes Google) ;
• une clé DKIM d'au moins 1 024 bits, 2 048 bits étant recommandés (consignes Google).

Même une petite entreprise qui envoie quelques dizaines de devis par jour est concernée par la première série de règles.

Comment fonctionne une signature DKIM ?

Le serveur d'envoi calcule une empreinte des en-têtes et du corps du message, la chiffre avec une clé privée et l'ajoute dans un en-tête « DKIM-Signature » ; le destinataire récupère la clé publique dans le DNS et vérifie que l'empreinte correspond.

Les étapes, dans l'ordre :

1. votre messagerie génère une paire de clés et garde la clé privée ;
2. vous publiez la clé publique dans le DNS, sous un nom du type sélecteur._domainkey.votredomaine.fr ;
3. à chaque envoi, le serveur signe le message et indique le domaine (d=) et le sélecteur (s=) utilisés ;
4. le serveur destinataire lit ces deux valeurs, interroge le DNS et vérifie la signature ;
5. le résultat (« pass » ou « fail ») est noté dans l'en-tête « Authentication-Results » du message reçu.

Le sélecteur permet d'avoir plusieurs clés pour un même domaine : une pour votre messagerie, une pour votre outil d'e-mailing, une pour votre CRM.

Conseil de pro : chaque service qui envoie des e-mails avec votre domaine (newsletter, facturation, formulaire du site) doit signer avec sa propre clé DKIM. Listez-les tous avant de commencer, c'est l'oubli le plus fréquent.

Comment créer un enregistrement SPF correct ?

Un enregistrement SPF est un seul TXT, publié à la racine du domaine, qui commence par v=spf1, liste les sources autorisées et se termine par une règle pour tout le reste, conformément à la RFC 7208.

Pour le construire :

• un seul enregistrement SPF par domaine : deux TXT commençant par v=spf1 invalident SPF ;
• listez chaque service d'envoi avec le mécanisme include: indiqué dans sa documentation (votre messagerie, votre outil d'e-mailing…) ;
• ajoutez vos propres serveurs avec ip4: ou a: si votre site envoie lui-même des e-mails ;
• terminez par ~all (échec « souple ») pendant la phase de test, puis par -all (refus) quand tout est validé ;
• surveillez le nombre de recherches DNS : la RFC 7208 limite à 10 les mécanismes qui déclenchent une requête DNS, au-delà SPF renvoie une erreur.

Un enregistrement minimal ressemble à ceci : v=spf1 include:<domaine de votre messagerie> ~all (syntaxe définie par la RFC 7208).

Comment activer DKIM sur votre domaine ?

Pour activer DKIM, il faut générer la clé dans votre messagerie, publier la clé publique dans le DNS de votre domaine, puis activer la signature côté messagerie une fois l'enregistrement visible.

La marche à suivre :

1. dans l'administration de votre messagerie, cherchez la section « Authentification » ou « DKIM » et générez une clé (2 048 bits si le choix est proposé) ;
2. copiez le nom de l'enregistrement (avec son sélecteur) et sa valeur, qui commence par v=DKIM1 ;
3. créez l'enregistrement TXT correspondant dans la zone DNS de votre domaine ;
4. attendez que l'enregistrement soit visible, puis activez la signature dans la messagerie ;
5. envoyez un e-mail de test et vérifiez le résultat (section suivante).

Chez Wayhost, la gestion DNS incluse avec un nom de domaine permet de créer ces enregistrements TXT, et l'e-mail professionnel Wayhost traite SPF, DKIM et DMARC dans sa FAQ (constaté le 27 octobre 2026 sur les pages nom de domaine et e-mail professionnel).

Si votre site envoie lui-même des e-mails (formulaires, commandes), pensez aussi à l'authentifier : c'est souvent le grand oublié des configurations d'hébergement web.

Comment tester DKIM et SPF ?

Le test le plus fiable consiste à envoyer un e-mail vers une boîte Gmail et à afficher l'original : l'en-tête « Authentication-Results » indique « spf=pass » et « dkim=pass » quand tout est correct.

Trois façons de vérifier :

• l'original du message : dans Gmail, « Afficher l'original » résume SPF, DKIM et DMARC en haut de page ;
• un outil de vérification en ligne : saisissez votre domaine et votre sélecteur pour lire l'enregistrement DKIM publié et contrôler sa syntaxe ;
• une requête DNS : dig TXT votredomaine.fr affiche l'enregistrement SPF, dig TXT sélecteur._domainkey.votredomaine.fr la clé DKIM.

Refaites ce test après chaque ajout d'un service d'envoi ou chaque changement de messagerie.

Quelles erreurs font échouer SPF ou DKIM ?

Les échecs viennent presque toujours d'une erreur de publication DNS ou d'un service d'envoi oublié, rarement de la messagerie elle-même.

Les erreurs les plus courantes :

• deux enregistrements SPF sur le même domaine au lieu d'un seul ;
• trop d'includes dans le SPF, qui dépassent la limite de requêtes DNS ;
• une clé DKIM tronquée lors du copier-coller (les longues clés sont parfois découpées en plusieurs chaînes) ;
• un sélecteur mal recopié : le nom de l'enregistrement ne correspond pas à la valeur s= de la signature ;
• un service d'envoi non déclaré : la newsletter part avec votre domaine sans être autorisée ;
• un pied de page ajouté après signature par un outil intermédiaire, qui casse DKIM.

Conseil de pro : quand vous changez de messagerie, publiez le nouveau SPF et la nouvelle clé DKIM avant de basculer les enregistrements MX. Les deux configurations cohabitent quelques jours sans problème.

Pour comprendre où se trouvent ces enregistrements et qui les gère, notre guide nom de domaine : le choisir, l'enregistrer et le garder reprend le rôle de la zone DNS.

DKIM et SPF suffisent-ils à ne plus finir en spam ?

Non : DKIM et SPF sont la condition de base, mais la délivrabilité dépend aussi de DMARC, de la réputation du domaine et du contenu des messages.

Ce qui compte en plus de l'authentification :

• DMARC, qui indique aux messageries quoi faire d'un message non authentifié et vous envoie des rapports ;
• la réputation de votre domaine et de vos serveurs, construite par des envois réguliers et sans plaintes ;
• le contenu : pas de lien raccourci douteux, un objet honnête, un texte et pas seulement une image ;
• le désabonnement en un clic pour les envois marketing ;
• une adresse à votre nom plutôt qu'une adresse gratuite, comme l'explique notre guide sur la messagerie professionnelle.

Questions fréquentes

DKIM, c'est quoi en quelques mots ?

DKIM est une signature numérique ajoutée à chaque e-mail envoyé avec votre domaine. Le destinataire la vérifie grâce à une clé publique publiée dans votre DNS. Elle prouve que le message vient bien de vous et qu'il n'a pas été modifié.

Quelle est la différence entre SPF et DKIM ?

SPF vérifie que le serveur qui envoie l'e-mail est autorisé par votre domaine. DKIM vérifie la signature du message lui-même. Les deux se complètent, car SPF échoue souvent après un transfert alors que DKIM y résiste.

Faut-il SPF et DKIM pour envoyer des e-mails vers Gmail ?

Gmail exige au moins l'un des deux pour tous les expéditeurs vers des comptes personnels. Les expéditeurs de gros volumes doivent configurer les deux, plus DMARC. Dans tous les cas, configurer les deux est la meilleure protection pour vos envois.

Comment savoir si mon DKIM fonctionne ?

Envoyez un e-mail vers une boîte Gmail et affichez l'original du message. La ligne DKIM doit indiquer « PASS » avec votre domaine. Un outil de vérification en ligne permet aussi de contrôler la clé publiée dans le DNS.

Peut-on avoir plusieurs enregistrements SPF ?

Non, un domaine ne doit avoir qu'un seul enregistrement SPF. Deux enregistrements commençant par « v=spf1 » rendent SPF invalide. Il faut regrouper tous les services autorisés dans le même enregistrement.

Peut-on avoir plusieurs clés DKIM sur un même domaine ?

Oui, grâce aux sélecteurs : chaque clé est publiée sous un nom différent. On utilise en général une clé par service d'envoi, par exemple la messagerie et l'outil de newsletter. Le destinataire sait quelle clé lire grâce au sélecteur indiqué dans la signature.

Que faire si mes e-mails partent toujours en spam avec SPF et DKIM ?

Vérifiez d'abord que les deux indiquent « pass » dans l'original d'un message reçu. Ajoutez ensuite DMARC et contrôlez la réputation de votre domaine et le contenu de vos messages. Un service d'envoi non déclaré est aussi une cause fréquente.

Faut-il changer régulièrement sa clé DKIM ?

C'est une bonne pratique de sécurité, surtout si la clé est ancienne ou courte. La rotation se fait en publiant une nouvelle clé sous un nouveau sélecteur, puis en basculant la signature. L'ancienne clé peut être retirée quelques jours plus tard.

Ce qu'il faut retenir

• DKIM signe vos e-mails et prouve qu'ils viennent de votre domaine sans avoir été modifiés.
• SPF déclare vos serveurs d'envoi dans un enregistrement unique à la racine du domaine.
• Gmail exige l'authentification de tous les expéditeurs, avec des règles plus strictes pour les gros volumes.
• Deux enregistrements DNS suffisent pour démarrer, à vérifier dans l'original d'un e-mail de test.
• DMARC, la réputation et le contenu complètent l'authentification pour sortir durablement du spam.

Pour envoyer des e-mails à votre nom avec une configuration propre, découvrez l'offre e-mail professionnel Wayhost.

Article rédigé par Mouhamed BANKOLE, CEO chez ITNET Technologies.