Configurer SPF, DKIM et DMARC pour Microsoft 365

Ce que ça veut dire

Avec Microsoft 365, c'est Exchange Online qui envoie vos emails. Votre domaine doit montrer aux destinataires qu'il fait confiance à Microsoft, avec trois enregistrements DNS :

• SPF liste les serveurs de Microsoft comme expéditeurs autorisés.
• DKIM signe chaque email avec une clé liée à votre domaine.
• DMARC indique aux destinataires quoi faire des emails qui échouent, et vous envoie des rapports.

Si vous n'avez jamais activé DKIM pour votre domaine personnalisé, Microsoft signe avec votre domaine onmicrosoft.com. Cette signature est valide, mais elle ne correspond pas à votre adresse d'expéditeur (From), donc elle n'aide pas votre DMARC.

Pourquoi c'est important

Gmail, Yahoo et Outlook.com attendent un SPF et un DKIM, et un DMARC pour les expéditeurs en masse. Microsoft lui-même refuse ou classe en courrier indésirable de plus en plus d'emails qui échouent à ces vérifications.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil (/), copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte que vous voulez vérifier, puis ouvrez le rapport. SPF, DKIM et DMARC doivent tous être validés, avec un DKIM qui affiche d=yourdomain.com.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements SPF et DMARC.

Comment corriger

1. SPF

Chez votre fournisseur DNS, gardez un seul enregistrement TXT commençant par v=spf1 sur @. Pour Microsoft 365 seul :

v=spf1 include:spf.protection.outlook.com -all

Si d'autres outils envoient pour vous, ajoutez leurs includes sur la même ligne. Utilisez ~all tant que vous n'êtes pas sûr que la liste est complète.

2. DKIM

1. Ouvrez le portail Microsoft Defender et allez dans Email & collaboration, Policies & rules, Threat policies, Email authentication settings, puis l'onglet DKIM.
2. Sélectionnez votre domaine personnalisé. Microsoft affiche deux enregistrements CNAME, nommés selector1._domainkey et selector2._domainkey.
3. Copiez les valeurs exactes affichées dans le portail : elles pointent vers un hôte Microsoft construit à partir des noms de votre domaine et de votre tenant. Ne les devinez pas.
4. Ajoutez les deux enregistrements CNAME chez votre fournisseur DNS.
5. Attendez qu'ils soient visibles, puis activez Sign messages for this domain with DKIM signatures.

Les deux sélecteurs permettent à Microsoft de changer de clé sans rien casser. Gardez les deux enregistrements pour toujours.

3. DMARC

Ajoutez un enregistrement TXT nommé _dmarc :

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Lisez les rapports pendant quelques semaines. Une fois que toutes vos vraies sources passent, passez à p=quarantine, puis à p=reject.

4. N'oubliez pas le reste

• Chaque outil supplémentaire (newsletters, factures, formulaires du site) a besoin de son propre include SPF et de sa propre configuration DKIM.
• Si vous n'avez que le domaine onmicrosoft.com, il n'y a rien à faire de ce côté : Microsoft s'en occupe.

Vérifiez que c'est corrigé

• Relancez le scanner de domaine : un seul enregistrement SPF valide et un enregistrement DMARC.
• Envoyez un nouvel email de test depuis Outlook : les trois lignes doivent être validées, avec un DKIM signé par votre propre domaine.
• Avec la surveillance DMARC de Delivmail dans le tableau de bord payant, vous pouvez suivre les rapports quotidiens avant de durcir votre politique.

Aide officielle : SPF, DKIM et DMARC pour Microsoft 365.