🔐 Cybersécurité
Sécurité des e-mails : SPF, DKIM et DMARC, et pourquoi votre PME ne peut plus s'en passer
ST
La messagerie reste la première porte d'entrée des attaques. Trois réglages, souvent oubliés, décident si un escroc peut écrire « au nom » de votre organisation.
20/10/2026
10:10
Authentifier un e-mail, c’est prouver qu’il vient vraiment de son expéditeur.
La messagerie est le premier outil de travail de la plupart des organisations, et c'est aussi la première porte que frappent les attaquants. Selon le rapport 2025 de Verizon sur les violations de données (Data Breach Investigations Report), l'usage de textes générés automatiquement dans les e-mails malveillants a doublé en deux ans. Les messages frauduleux ne « sentent » plus l'arnaque : ils imitent un fournisseur, une direction, une administration, et s'insèrent naturellement dans une journée de travail. Face à ça, beaucoup d'organisations misent tout sur le filtre anti-spam. C'est nécessaire, mais insuffisant, car une question reste ouverte en amont : votre nom de domaine peut-il être usurpé ? Autrement dit, un escroc peut-il envoyer un e-mail qui semble venir de « @votre-organisation.ch » ? La réponse tient à trois réglages techniques, souvent absents ou mal configurés : SPF, DKIM et DMARC.
Le problème : n'importe qui peut écrire « en votre nom »
Par défaut, le protocole de la messagerie n'a jamais été conçu pour vérifier l'expéditeur. Rien n'empêche techniquement un tiers d'écrire un e-mail en affichant votre domaine dans le champ « De ». C'est le principe de l'usurpation (spoofing), et c'est le socle de la fraude au président (BEC) : un message qui paraît venir de la direction, une demande de virement urgente, et une décision prise en quelques secondes. Le risque n'est pas que théorique. Une organisation dont le domaine n'est pas protégé peut voir son nom utilisé pour piéger ses propres collaborateurs, ses clients ou ses fournisseurs, sans même que ses serveurs soient touchés. La réputation se joue alors sur un domaine que l'on ne maîtrise pas.
Ce qu'on observe sur le terrain
Chez les PME, les communes et les institutions romandes que nous accompagnons, le constat revient souvent : le domaine fonctionne, les e-mails partent et arrivent, mais l'authentification est incomplète. Un SPF présent mais trop permissif, un DKIM jamais activé, un DMARC absent ou laissé en observation (« p=none ») qui ne bloque rien. Dans cet état, tout semble normal au quotidien, jusqu'au jour où un faux e-mail « de la direction » circule en interne, ou qu'un partenaire signale avoir reçu une demande douteuse à votre nom. Le réglage manquant ne se voit pas tant qu'il ne manque pas.
SPF, DKIM, DMARC : à quoi sert chacun
Ces trois standards travaillent ensemble pour répondre à une seule question : cet e-mail vient-il vraiment de ce domaine ? SPF (Sender Policy Framework) déclare, dans votre zone DNS, quels serveurs ont le droit d'envoyer des e-mails pour votre domaine. Un message venu d'ailleurs est signalé comme suspect. DKIM (DomainKeys Identified Mail) ajoute une signature numérique à chaque e-mail sortant. Le destinataire vérifie que le message n'a pas été modifié en route et qu'il provient bien du domaine annoncé. DMARC (Domain-based Message Authentication, Reporting and Conformance) relie les deux : il indique au destinataire quoi faire quand un e-mail échoue aux contrôles (laisser passer, mettre en quarantaine, rejeter) et vous renvoie des rapports sur les tentatives d'usurpation. C'est la pièce qui transforme SPF et DKIM en véritable politique.
L'approche Computis
Nous ne traitons pas ces trois réglages comme une case à cocher, mais comme une mise en place progressive et surveillée. D'abord un état des lieux de vos enregistrements DNS et de la façon dont vos e-mails sont réellement envoyés (y compris par vos outils tiers : facturation, newsletter, formulaires). Ensuite, SPF et DKIM alignés pour tous ces usages, puis DMARC activé en observation pour mesurer sans rien casser. Enfin, une montée en puissance vers la quarantaine puis le rejet, une fois les rapports propres. Le but n'est pas d'imposer un grand chantier, mais de fermer une porte que peu d'organisations savent ouverte, dans le bon ordre et sans bloquer vos envois légitimes.
La messagerie reste la première porte d'entrée des attaques. Trois réglages, souvent oubliés, décident si un escroc peut écrire « au nom » de votre organisation.
FAQ
Qu'est-ce que l'usurpation d'e-mail (spoofing) ?
C'est le fait d'envoyer un e-mail en affichant votre domaine comme expéditeur, sans y être autorisé. Le protocole de la messagerie ne vérifie pas l'expéditeur par défaut, ce qui rend l'usurpation possible tant que SPF, DKIM et DMARC ne sont pas en place.
SPF, DKIM et DMARC, est-ce la même chose ?
Non, ils sont complémentaires. SPF liste les serveurs autorisés à envoyer pour votre domaine, DKIM signe chaque message, et DMARC relie les deux en définissant quoi faire en cas d'échec et en fournissant des rapports.
Activer DMARC risque-t-il de bloquer mes e-mails légitimes ?
Pas si on procède par étapes. On commence en mode observation (« p=none »), qui ne bloque rien et sert à repérer tous vos expéditeurs légitimes, avant de durcir progressivement la politique.
Mon domaine est chez Microsoft 365 ou Google : suis-je déjà protégé ?
Ces services facilitent la configuration, mais SPF, DKIM et DMARC ne sont pas toujours activés ni complets par défaut, surtout quand d'autres outils envoient aussi en votre nom. Une vérification s'impose.
Nous n'avons pas d'équipe IT interne : Computis peut-il s'en charger ?
Oui. Nous faisons l'état des lieux, la mise en place et le suivi des rapports, en gardant vos envois légitimes fonctionnels à chaque étape.
Sujets abordés
Cybersécurité
SPF
DKIM
DMARC
PME suisse
Votre domaine est-il protégé contre l'usurpation ?
En quinze minutes, voyons ensemble où en est l'authentification de votre messagerie et par quelle étape commencer.
