Protéger les e-mails de votre domaine (SPF, DKIM et DMARC)

Configurez SPF, DKIM et DMARC pour que les serveurs de messagerie puissent distinguer les e-mails authentiques de votre domaine des messages falsifiés — ceci s’adresse à toute personne possédant un domaine, qu’elle soit technique ou non.

Vue d’ensemble

• N’importe qui peut envoyer un e-mail qui se fait passer pour venir de votre domaine. Trois enregistrements DNS permettent aux serveurs de messagerie destinataires de vérifier quel courrier est authentique :
• SPF indique quels serveurs sont autorisés à envoyer du courrier pour vous.
• DKIM ajoute une signature à chaque message que vous envoyez.
• DMARC indique aux destinataires quoi faire du courrier qui échoue à ces vérifications.
• InfraNest écrit ces enregistrements pour vous en s’appuyant sur ce qu’il sait déjà de votre domaine, afin que vous n’ayez jamais à les rédiger vous-même.

Le configurer pour un domaine

1. Ouvrez le domaine depuis Domaines, ou sa zone depuis DNS.
2. Dans Protection (sur la page du domaine) ou la carte e-mail (sur la page de la zone), choisissez Ajouter à côté de SPF ou DMARC.
3. Vérifiez l’aperçu. Chaque enregistrement indique ce qu’il est actuellement, ce qu’il deviendra, et pourquoi.
4. Choisissez Write. InfraNest écrit les enregistrements via votre hébergeur DNS, puis vérifie le DNS public. Un enregistrement est généralement actif en quelques minutes.

Ce qu’InfraNest écrit

• SPF — nomme le fournisseur de messagerie qui gère vos e-mails. InfraNest le reconnaît à partir de vos enregistrements MX (Google Workspace, Microsoft 365, Zoho, Proton, Fastmail et bien d’autres). S’il ne peut pas le déterminer, vous choisissez votre fournisseur dans une liste.
  • Si vous avez déjà un enregistrement SPF, InfraNest y ajoute votre fournisseur et laisse tout le reste exactement tel quel. Il ne crée jamais un second enregistrement SPF, car deux enregistrements font que les destinataires ignorent complètement SPF.
  • Les destinataires autorisent au maximum 10 recherches DNS pour SPF. InfraNest les compte avant toute modification et refuse un changement qui dépasserait cette limite, en vous montrant le décompte.
• DMARC — démarre en mode surveillance uniquement. Cela ne fait qu’observer : cela ne change rien à la façon dont votre courrier est délivré. Si vous avez déjà un enregistrement DMARC, InfraNest n’y touche pas.
• DKIM — s’active chez votre fournisseur de messagerie, pas manuellement dans le DNS. L’aperçu renvoie directement à la bonne page (par exemple Google Admin ou le portail Microsoft Defender). Une fois que votre fournisseur publie la clé, InfraNest la trouve de lui-même ; il n’y a rien à confirmer.
  • Microsoft 365 nécessite deux enregistrements DKIM dans votre DNS (DKIM (selector1) et DKIM (selector2)), et seul Microsoft Defender indique où ils pointent. Si un autre de vos domaines les possède déjà, InfraNest les réutilise, une fois que le DNS public confirme que Microsoft a une clé prête pour ce domaine. Sinon, l’aperçu vous demande une valeur : ouvrez les réglages DKIM dans Defender, choisissez le domaine et collez la valeur affichée pour selector1. InfraNest écrit les deux enregistrements à partir de celle-ci. Une fois actifs, activez DKIM pour le domaine dans Defender — Microsoft ne signe votre courrier qu’après cette étape.
• Autodiscover (Microsoft 365) — aide Outlook et les téléphones à trouver la boîte de messagerie lorsque quelqu’un se connecte avec une adresse à votre domaine. InfraNest l’ajoute uniquement lorsque votre domaine n’a pas encore d’enregistrement Autodiscover, afin qu’un serveur de messagerie qui vous appartient continue de répondre.

NoteFaire passer DMARC du mode surveillance uniquement à une politique plus stricte relève de votre décision, prise sur la page DNS. Faites-le une fois certain que chaque service qui envoie du courrier pour vous passe SPF ou DKIM, sinon du courrier légitime peut être rejeté.

Verrouiller les domaines qui n’envoient aucun courrier

Les domaines parqués et les domaines que vous ne gardez que pour un site web peuvent eux aussi être usurpés. Si un domaine ne reçoit aucun courrier et que rien n’envoie de courrier pour lui, InfraNest propose de le verrouiller avec trois enregistrements :

1. Un enregistrement Null MX, qui indique que le domaine n’accepte aucun courrier.
2. Un enregistrement SPF réglé en hard fail, qui indique qu’aucun serveur ne peut envoyer pour lui.
3. Un enregistrement DMARC réglé pour refuser le courrier usurpé.

InfraNest ne propose cela que lorsqu’il n’y a aucun signe d’envoi. Si l’enregistrement SPF du domaine nomme un expéditeur, ou qu’il possède une clé DKIM, il est laissé tel quel — quelque chose peut envoyer du courrier pour lui sans enregistrement MX, et le verrouiller bloquerait ce courrier.

Corriger la protection des e-mails sur plusieurs domaines

1. Allez dans la vue d’ensemble Domaines.
2. Repérez les lignes Protection des e-mails et Sends no mail, qui comptent combien de domaines ont déjà chacune configurée.
3. Choisissez Fix ou Lock down pour voir, par domaine, ce qu’InfraNest va écrire, quels hébergeurs DNS nécessitent l’ajout manuel des enregistrements, et quels domaines sont ignorés et pourquoi.
4. Choisissez Confirm pour écrire les modifications. InfraNest n’écrit que sur les domaines où il le peut ; chacun est vérifié et enregistré individuellement.

Lorsqu’InfraNest ne peut pas écrire sur votre hébergeur DNS

1. Si le DNS de votre domaine se trouve chez un fournisseur auquel InfraNest n’est pas connecté, ouvrez l’aperçu pour voir les enregistrements prêts à copier.
2. Ajoutez-les chez votre hébergeur DNS.
3. Choisissez Check public DNS. InfraNest confirme chaque enregistrement dès qu’il est actif.

Annuler une modification

Chaque modification est enregistrée dans l’Historique de la zone, regroupée comme une seule modification, afin que vous puissiez l’annuler en une seule étape.