Comment configurer DKIM et SPF correctement

Si vos cold emails finissent dans les spams, rebondissent sans raison apparente ou sont signalés par Google et Microsoft, votre problème n'est pas d'abord un problème de rédaction. C'est un problème de confiance. Savoir configurer DKIM et SPF correctement est l'un des moyens les plus rapides d'améliorer la délivrabilité, car cela indique aux fournisseurs de messagerie que votre domaine a réellement autorisé le message.

Pour toute entreprise qui envoie des campagnes de prospection, ce n'est pas une simple formalité technique facultative. Cela fait partie de l'infrastructure qui génère du chiffre d'affaires. Si vous utilisez un domaine personnalisé pour votre prospection, SPF et DKIM doivent être en place avant d'augmenter le volume, de tester des campagnes ou de juger les résultats.

Comment configurer DKIM et SPF sans trop compliquer les choses

SPF et DKIM remplissent des rôles voisins, mais ils ne sont pas identiques.

SPF, ou Sender Policy Framework, indique aux serveurs destinataires quels serveurs de messagerie sont autorisés à envoyer des emails au nom de votre domaine. Voyez-le comme une liste d'expéditeurs approuvés publiée dans vos enregistrements DNS.

DKIM, ou DomainKeys Identified Mail, ajoute une signature cryptographique à vos emails sortants. Cette signature prouve que le message a été autorisé par votre domaine et qu'il n'a pas été modifié en cours de route.

Si SPF est absent, les fournisseurs de messagerie ont moins de raisons de croire que votre serveur d'envoi est légitime. Si DKIM est absent, ils ont moins de preuves que le message lui-même est authentique. Il vous faut les deux, qui fonctionnent ensemble. Dans la plupart des cas, vous voudrez aussi DMARC à terme, mais SPF et DKIM sont la première étape.

Avant de configurer quoi que ce soit

Vous avez besoin d'accéder à deux endroits : les paramètres DNS de votre domaine et votre plateforme d'envoi d'emails. Votre DNS est généralement géré par votre registraire de domaine ou votre hébergeur. Votre plateforme d'envoi peut être Google Workspace, Microsoft 365, votre logiciel de cold email, votre fournisseur SMTP ou un service d'envoi dédié.

Les écrans exacts varient, mais le processus reste généralement le même. Votre fournisseur de messagerie vous donne des enregistrements DNS à ajouter. Vous les publiez dans les paramètres de votre domaine. Ensuite, vous vérifiez qu'ils sont actifs.

Si vous envoyez votre prospection depuis un domaine ou un sous-domaine distinct, c'est souvent la solution la plus judicieuse. Elle protège la réputation de votre domaine principal si la qualité de vos campagnes baisse ou si votre volume augmente trop vite. Beaucoup d'expéditeurs l'ignorent jusqu'à ce que les performances chutent. À ce stade, ils réparent les dégâts au lieu de les prévenir.

Étape 1 : ajoutez votre enregistrement SPF

Votre enregistrement SPF est un enregistrement TXT dans votre DNS. Il commence par v=spf1 et inclut les services autorisés à envoyer des emails pour votre domaine.

Un exemple simple pourrait ressembler à ceci :

v=spf1 include:_spf.google.com ~all

Cet exemple indique aux fournisseurs de messagerie que Google est autorisé à envoyer des emails pour votre domaine. Si vous utilisez aussi une autre plateforme, comme un outil de prospection ou un service d'emails transactionnels, ce service devra peut-être être inclus lui aussi.

Le point essentiel avec SPF, c'est qu'un domaine ne doit avoir qu'un seul enregistrement SPF. Pas deux. Pas un par outil. Un seul enregistrement qui regroupe tous les expéditeurs autorisés.

C'est là que beaucoup d'entreprises dégradent leur délivrabilité sans s'en rendre compte. Elles ajoutent un deuxième enregistrement TXT SPF chaque fois qu'elles connectent une nouvelle plateforme. Le DNS l'accepte, mais les serveurs de messagerie destinataires peuvent considérer la configuration SPF comme invalide. La solution consiste à fusionner tous les expéditeurs autorisés dans un seul enregistrement SPF.

Vous devez aussi faire attention à la fin de l'enregistrement. La balise ~all correspond à un échec « soft », courant dans les configurations de départ. La balise -all correspond à un échec « hard », plus strict. Le choix dépend de votre certitude d'avoir inclus toutes les sources d'envoi légitimes. Si vous passez trop vite à -all et que vous oubliez un expéditeur, des emails valides peuvent échouer.

Étape 2 : ajoutez votre enregistrement DKIM

DKIM s'ajoute lui aussi via le DNS, mais il utilise généralement un ou plusieurs enregistrements CNAME ou TXT selon votre fournisseur.

Votre plateforme d'envoi va générer un sélecteur DKIM et une clé publique. Vous ajoutez ces informations au DNS exactement comme elles sont fournies. Ensuite, votre plateforme d'envoi utilise en coulisses la clé privée correspondante pour signer les messages sortants.

Un enregistrement DKIM paraît souvent plus technique que SPF, mais la vraie règle est simple : copiez-le à l'identique. Un caractère manquant, un saut de ligne ou un mauvais nom d'hôte peuvent empêcher la validation.

Certains fournisseurs vous demandent de publier une valeur d'hôte comme :

selector1._domainkey.yourdomain.com

Associez-y ensuite la valeur TXT ou la cible CNAME correspondante qu'ils vous fournissent.

Une fois cet enregistrement propagé, votre fournisseur devrait pouvoir le vérifier. Après vérification, les emails envoyés via ce fournisseur porteront une signature DKIM liée à votre domaine.

Si vous envoyez depuis plusieurs fournisseurs, vous aurez peut-être plusieurs sélecteurs DKIM. C'est normal. Contrairement à SPF, DKIM accepte plusieurs enregistrements, car chaque sélecteur est indépendant.

Étape 3 : vérifiez les deux enregistrements avant d'envoyer du volume

Ne partez pas du principe que les modifications DNS ont fonctionné parce que vous avez cliqué sur « enregistrer ». La propagation DNS peut prendre quelques minutes ou, parfois, plus longtemps. La plupart des plateformes d'envoi proposent un bouton de vérification ou un contrôle de statut. Utilisez-le.

Envoyez aussi des emails de test à des comptes que vous contrôlez, comme Gmail ou Outlook, et examinez les en-têtes du message ou les résultats d'authentification. Vous cherchez un SPF pass et un DKIM pass.

Si l'un passe et que l'autre échoue, vous êtes partiellement authentifié, pas entièrement configuré. Cela peut quand même améliorer vos performances par rapport à un envoi sans aucune authentification, mais ce n'est pas le standard à viser pour des campagnes de prospection.

Les erreurs courantes qui nuisent à la délivrabilité

La plus grande erreur est de traiter SPF et DKIM comme de simples cases à cocher. Ce n'est pas le cas. Une mauvaise configuration peut être presque aussi dommageable que l'absence de configuration, car elle crée une authentification incohérente.

Un problème fréquent est l'utilisation du mauvais domaine d'envoi. L'adresse d'expéditeur (From) visible doit être alignée avec le domaine que vous avez authentifié. Si votre plateforme signe avec un domaine alors que votre message prétend provenir d'un autre, la confiance s'effondre rapidement.

Autre problème : oublier que le transfert peut affecter SPF. Comme SPF vérifie le chemin du serveur d'envoi, un email transféré peut échouer au contrôle SPF même si l'expéditeur d'origine était légitime. DKIM résiste mieux dans ce cas, car il valide la signature sur le contenu. C'est l'une des raisons pour lesquelles DKIM est si important.

Il y a aussi le problème de l'aplatissement des enregistrements et des limites de requêtes SPF. SPF n'autorise qu'un nombre limité de requêtes DNS. Si vous empilez trop d'include provenant de trop d'outils, vous pouvez dépasser la limite et provoquer des échecs. Pour une entreprise dont la pile d'outils est brouillonne, cela compte. Parfois, la réponse est un nettoyage, pas un correctif de plus.

Comment cela affecte les performances de votre prospection à froid

Si vous envoyez des emails commerciaux, l'authentification influe directement sur le placement en boîte de réception, pas seulement sur la conformité. Une excellente offre ne sert à rien si l'email n'est jamais vu.

Les fournisseurs de messagerie utilisent l'authentification comme l'un des nombreux signaux de confiance. Elle ne sauvera ni un mauvais ciblage, ni un texte faible, ni des pratiques d'envoi imprudentes. Mais sans elle, même une campagne bien construite part avec un handicap.

C'est d'autant plus vrai si vous écrivez à de nouveaux prospects à grande échelle. La prospection à froid fait déjà l'objet d'un examen plus attentif que la communication avec des clients. Votre configuration technique doit réduire les frictions, pas en créer davantage.

C'est pourquoi les entreprises qui lancent des campagnes de prospection doivent voir plus loin que le seul logiciel d'envoi. C'est tout le système qui compte : configuration du domaine, santé des boîtes, enregistrements DNS, montée en volume, qualité des listes et pertinence des messages. Les outils peuvent accélérer l'exécution, mais aucun outil ne peut compenser une réputation de domaine détruite.

Faut-il aussi DMARC ?

Oui, en général. Mais gardez des attentes réalistes.

DMARC s'appuie sur SPF et DKIM. Il indique aux fournisseurs de messagerie quoi faire lorsque l'authentification échoue et vous donne de la visibilité grâce à des rapports. Si SPF et DKIM ne sont pas configurés d'abord, DMARC n'a presque rien sur quoi s'appuyer.

Pour beaucoup d'entreprises, le bon ordre est SPF d'abord, DKIM ensuite, DMARC en troisième. Si vous vous précipitez sur DMARC avec une politique de rejet alors que votre configuration de base est erronée, vous pouvez bloquer des emails légitimes. Commencez par la surveillance, confirmez l'alignement, puis durcissez la politique progressivement.

Un standard de configuration pratique pour la plupart des entreprises

Si vous voulez une base fiable, utilisez un domaine ou un sous-domaine d'envoi dédié à la prospection, publiez un seul enregistrement SPF propre, activez DKIM avec votre plateforme d'envoi, vérifiez les deux et testez avant de lancer vos campagnes. Ajoutez ensuite DMARC une fois les fondations stables.

Cette approche vous donne le contrôle. Elle protège le domaine de votre marque principale, facilite le dépannage et ouvre une voie plus propre pour faire monter la prospection en puissance.

Pour les équipes non techniques, la bonne nouvelle, c'est que c'est généralement une configuration à faire une seule fois, pas une tâche quotidienne. Une fois qu'elle est correctement faite, votre attention peut se reporter sur ce qui alimente vraiment le pipeline – cibler les bons prospects, rédiger de meilleures offres et envoyer avec discipline.

Si vous prenez l'email au sérieux comme canal de vente, ne traitez pas l'authentification comme un détail. Configurez-la une fois, vérifiez-la correctement et donnez à vos campagnes une vraie chance d'arriver en boîte de réception.