SPF, DKIM, DMARC : protéger la messagerie Microsoft 365 d'une PME

SPF, DKIM et DMARC sont trois réglages de votre nom de domaine qui permettent aux messageries de vos destinataires de vérifier qu'un courriel envoyé à votre nom vient bien de vous. SPF liste les serveurs autorisés à envoyer, DKIM signe chaque message, DMARC dit quoi faire des messages qui échouent à ces contrôles.

Sans eux, n'importe qui peut envoyer un courriel qui semble venir de votre entreprise, à vos clients comme à vos fournisseurs. Voici à quoi sert chaque protection, comment les activer quand votre messagerie est sur Microsoft 365, et les erreurs qui bloquent vos propres envois.

Pourquoi ces protections comptent pour une PME

La fraude au faux fournisseur et la fraude au président commencent souvent par un courriel qui imite une adresse connue. Quand votre domaine n'est pas protégé, un escroc peut écrire à vos clients avec votre adresse exacte et leur demander de payer sur un nouveau RIB. Nous détaillons ce scénario dans notre article Fausse facture, faux fournisseur : la fraude passe par la messagerie.

Ces réglages protègent aussi la délivrabilité de vos propres courriels : une messagerie qui ne peut pas vérifier votre domaine a plus de chances de classer vos messages en indésirables.

Ils ne protègent pas contre tout. Un escroc peut encore utiliser un domaine qui ressemble au vôtre ou pirater une vraie boîte aux lettres : c'est l'objet de notre article sur le spear phishing.

SPF : dire quels serveurs peuvent envoyer pour vous

SPF (Sender Policy Framework) est un enregistrement texte publié dans la zone DNS de votre domaine. Il liste les serveurs autorisés à envoyer des courriels avec votre adresse. Pour un domaine qui n'envoie que par Microsoft 365, il contient la mention include:spf.protection.outlook.com.

Le point délicat, ce sont les autres outils qui envoient à votre nom : logiciel de facturation, CRM, outil d'e-mailing, imprimante qui envoie des scans. Chacun doit figurer dans l'enregistrement SPF, sinon ses messages échouent au contrôle. Un domaine ne doit avoir qu'un seul enregistrement SPF.

DKIM : signer chaque message

DKIM (DomainKeys Identified Mail) ajoute à chaque courriel une signature électronique. Le destinataire la vérifie avec une clé publique publiée dans votre DNS : si le message a été modifié en route ou ne vient pas de vos serveurs, la signature ne correspond pas.

Dans Microsoft 365, l'activation se fait en deux temps : publier dans votre DNS les deux enregistrements que Microsoft vous indique pour votre domaine, puis activer la signature dans le portail Microsoft Defender. Les outils tiers qui envoient à votre nom doivent, eux aussi, signer avec votre domaine.

DMARC : décider du sort des messages usurpés

DMARC s'appuie sur SPF et DKIM. Il vérifie que le domaine affiché dans l'adresse de l'expéditeur correspond à celui qui a passé l'un des deux contrôles, puis applique la règle que vous avez choisie aux messages qui échouent. Microsoft demande de configurer SPF et DKIM pour chaque domaine qui envoie avant de mettre en place DMARC.

La règle se durcit par étapes :

• p=none : aucun message n'est bloqué ; vous recevez des rapports qui montrent qui envoie à votre nom.
• p=quarantine : les messages qui échouent partent en courrier indésirable. Le paramètre pct permet de n'appliquer la règle qu'à une part des messages au début.
• p=reject : les messages qui échouent sont refusés.

Microsoft recommande de commencer par p=none et de surveiller les rapports avant de passer à l'étape suivante. Les rapports (adresse indiquée après rua=) sont des fichiers techniques : un outil ou un prestataire les rend lisibles.

The Most Common Mistakes

• Publier DMARC en p=reject dès le premier jour, sans avoir vérifié les outils qui envoient à votre nom.
• Oublier un outil tiers (facturation, CRM, e-mailing) dans SPF ou DKIM : ses messages finissent en indésirables.
• Créer deux enregistrements SPF pour le même domaine : aucun des deux n'est alors valable.
• Rester indéfiniment en p=none : vous êtes informé, mais rien n'est bloqué.
• Ne protéger que le domaine principal : un domaine secondaire qui n'envoie pas de courriels peut aussi être usurpé et mérite une règle qui refuse tout.

Getting support

Nous configurons SPF, DKIM et DMARC pour les PME et les ETI qui utilisent Microsoft 365 : inventaire des outils qui envoient à votre nom, mise en place progressive, lecture des rapports jusqu'au passage en rejet. Ce travail fait partie de notre offre de sécurité de l'infrastructure et de nos projets de migration de messagerie, au moment où le domaine change de serveur.

Frequently asked questions

Faut-il SPF, DKIM et DMARC, ou un seul suffit-il ?

Les trois se complètent. SPF et DKIM permettent de vérifier l'origine d'un message, DMARC dit quoi faire quand la vérification échoue. Sans DMARC, un message usurpé peut encore être livré.

Combien de temps faut-il pour passer DMARC en rejet ?

Cela dépend du nombre d'outils qui envoient à votre nom. Microsoft recommande de commencer par une règle qui ne bloque rien et de surveiller les rapports avant chaque étape : le rythme se décide sur ces rapports.

Microsoft 365 configure-t-il ces protections automatiquement ?

Pour le domaine fourni par Microsoft (se terminant par onmicrosoft.com), SPF et DKIM sont déjà configurés. Pour votre propre domaine, les enregistrements se créent chez votre hébergeur DNS, et la signature DKIM s'active dans le portail Microsoft Defender.

Ces réglages empêchent-ils tout hameçonnage ?

Non. Ils empêchent d'utiliser votre domaine exact, mais pas un domaine qui lui ressemble ni une boîte aux lettres piratée. Ils s'ajoutent à la protection de la messagerie et à la sensibilisation des équipes.

Sources

• Microsoft Learn, configurer DMARC pour les domaines Microsoft 365, consulté le 05/11/2026.
• Microsoft Learn, configurer DKIM pour un domaine Microsoft 365, consulté le 05/11/2026.
• Microsoft Learn, l'authentification des courriels dans Microsoft 365, consulté le 05/11/2026.