La redirection d'emails casse le SPF : comment DKIM et ARC aident

Ce que ça veut dire

Beaucoup de gens redirigent automatiquement leurs emails : une ancienne adresse vers une nouvelle, un alias d'université ou d'entreprise vers Gmail, une adresse de contact vers plusieurs membres d'une équipe.

Dans ce cas, l'email est renvoyé par le serveur de redirection. Le destinataire final vérifie le SPF par rapport à l'adresse IP de ce serveur, qui ne figure pas dans votre enregistrement SPF. Résultat : le SPF échoue, alors que vous avez tout fait correctement.

• DKIM survit en général à la redirection : la signature est dans l'email et reste valide tant que le contenu n'est pas modifié.
• ARC (Authenticated Received Chain) permet au serveur de redirection de noter « cet email a passé SPF, DKIM et DMARC quand il m'est parvenu », et de signer cette déclaration.

Pourquoi c'est important

DMARC passe si SPF ou DKIM passe et correspond à votre domaine. Si vous ne comptez que sur le SPF, chaque email redirigé échoue à DMARC. Avec p=quarantine ou p=reject, ces emails arrivent en spam ou sont refusés, et vous n'en entendez jamais parler.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil (/), copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte que vous voulez vérifier, puis ouvrez le rapport. Vérifiez que DKIM est validé et signé par votre propre domaine (d=yourdomain.com), pas seulement par votre fournisseur. C'est ce qui protège les emails redirigés.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour vérifier vos enregistrements SPF et DMARC.

Dans vos rapports DMARC, la redirection apparaît sous forme de sources que vous ne reconnaissez pas (serveurs d'université, fournisseurs de messagerie) avec un SPF en échec mais un DKIM validé.

Comment corriger

Si vous êtes l'expéditeur

1. Signez chaque email avec DKIM pour votre propre domaine. Configurez-le chez votre fournisseur de messagerie et dans chaque outil qui envoie pour vous. C'est la vraie solution.
2. Évitez les modifications après la signature. Les pieds de page, le suivi ou les mentions légales ajoutés par une passerelle après la signature peuvent casser DKIM. Ajoutez-les avant de signer, ou signez à la toute dernière étape.
3. N'affaiblissez pas le SPF pour « corriger » le problème. Ajouter les adresses IP des serveurs de redirection ou utiliser +all n'est jamais la solution.

Si c'est vous qui gérez la redirection

• Préférez les services de redirection qui prennent en charge ARC ou SRS (Sender Rewriting Scheme). SRS réécrit l'expéditeur d'enveloppe avec le domaine du serveur de redirection pour que le SPF y passe ; Gmail, Microsoft 365 et la plupart des grands fournisseurs le gèrent.
• Au lieu de tout rediriger, envisagez de relever les emails avec une application ou en IMAP, ce qui ne renvoie pas le message.
• Ne redirigez pas le spam : cela nuit à la réputation du serveur de redirection.

Listes de diffusion

Les listes qui ajoutent une étiquette dans l'objet ou un pied de page cassent aussi DKIM. Un bon logiciel de liste réécrit l'adresse d'expéditeur (par exemple « Jean via Liste ») ou ajoute ARC. Vous ne pouvez pas le contrôler de votre côté, raison de plus pour avoir un DKIM aligné partout ailleurs.

Vérifiez que c'est corrigé

Envoyez un nouvel email de test depuis la page d'accueil et confirmez que DKIM est validé avec votre domaine. Avec la surveillance DMARC de Delivmail dans le tableau de bord payant, les sources de redirection devraient alors afficher un DKIM validé même quand le SPF échoue, ce qui est normal et acceptable.