Authentification SPF, DKIM et DMARC

Lorsque vous envoyez des e-mails, les fournisseurs de messagerie (tels que Gmail, Outlook, AOL et Yahoo) repèrent si les e-mails sont légitimes ou s’ils sont une tentative de spam ou de hameçonnage.  Les e-mails envoyés par ActiveCampaign sont également concernés. C’est pourquoi il est important de mettre en place un système d’authentification des e-mails.

Avant de commencer, veillez à utiliser un domaine d’envoi reconnu, dont vous êtes propriétaire. En outre, votre domaine doit dater de plus de 30 jours et rediriger vers un site web valide, et non vers une page blanche. Si vous utilisez un nouveau domaine, apprenez à le chauffer.

Il existe trois méthodes reconnues pour vérifier l’identité de l’expéditeur. SPF, DKIM et DMARC. À partir de février 2024, Gmail et Yahoo exigeront une authentification DKIM et DMARC pour procéder à la distribution. D’autres fournisseurs de messagerie attendent déjà des expéditeurs qu’ils authentifient leurs échanges d’e-mail. C’est pourquoi ActiveCampaign recommande vivement à tous les expéditeurs de mettre en place DKIM et DMARC.

Avec ActiveCampaign, vous avez deux options pour l’authentification DKIM, DMARC et SPF lorsque vous ajoutez un domaine d'envoi :

• Si vous utilisez l'option « Configurer le domaine », l'authentification DKIM, DMARC et SPF sera mise en place pour vous.
• Si vous choisissez l’option « Configurer manuellement », nous vous guiderons dans la configuration des authentifications DKIM, DMARC et SPF.

Il s’agit des enregistrements DNS que vous configurez avec ActiveCampaign lorsque vous utilisez « Configurer manuellement » :

Les authentifications DKIM et DMARC présentent de nombreux avantages :

• Renforcer votre marque
  Vous pouvez renforcer votre marque en supprimant l’en-tête « via... » de Gmail. La configuration de l'authentification DKIM a pour effet positif de faire disparaître cet en-tête.
  
  
• Construire une réputation d’expéditeur d’e-mails sur votre nom de domaine
  Envoyer des e-mails sans authentification, c’est comme rendre un devoir sans nom. Vous avez peut-être réussi le travail, mais vous ne pouvez pas vous en attribuer le mérite si votre nom n’y figure pas. L’authentification DKIM, en particulier, contribue à établir votre réputation en tant qu’expéditeur d’e-mail.
• Renforcer la sécurité de votre nom de domaine
  Les normes d’authentification telles que DMARC permettent de protéger votre nom de domaine contre une potentielle utilisation frauduleuse.

L’authentification d’e-mail ne résout pas tous les problèmes de délivrabilité, comme le fait que le destinataire veuille ou non recevoir l’e-mail. Mais elle résout le problème de la détermination de l’identité de l’expéditeur.

Un expéditeur qui respecte les bonnes pratiques, telles que l’envoi d’e-mails personnalisés de qualité à une liste opt-in et le nettoyage régulier de la liste, obtiendra généralement un taux de délivrabilité plus élevé lorsqu’il utilisera l’authentification d’e-mails. Son domaine se forgera une réputation de bon expéditeur auprès des destinataires qui souhaitent s’engager dans ses e-mails.

Un expéditeur qui ne suit pas les meilleures pratiques, comme l’utilisation d’une liste louée ou achetée, qui n’envoie pas de messages clairs pendant la procédure d’inscription sur le type d’e-mails qui seront envoyés et à quelle fréquence, ou qui n’effectue jamais d’hygiène de la liste, verra généralement son taux de délivrabilité diminuer avec l’authentification des e-mails. Son domaine peut se construire une réputation d’expéditeur d’e-mails indésirables.

L’authentification permet aux bons expéditeurs de consolider leur réputation et de protéger leur domaine contre les mauvais expéditeurs qui pourraient essayer de le détourner.

SPF

Les enregistrements SPF (Sender Policy Framework, cadre politique de l’expéditeur) sont des enregistrements TXT sur votre domaine qui autorisent des serveurs spécifiques à envoyer du courrier en utilisant votre nom de domaine. Lorsque vous configurez un domaine d’envoi, vous configurez notamment un domaine de serveur de messagerie avec ActiveCampaign où vous dirigez votre domaine vers nous via un enregistrement CNAME. Cela permet à ActiveCampaign de servir l’enregistrement SPF nécessaire pour vous. Dès lors que vous avez configuré le domaine du serveur de messagerie, SPF sera entièrement pris en charge sur ActiveCampaign.

Cela signifie que vous n’avez pas besoin de créer un enregistrement SPF ou de modifier un enregistrement existant pour fonctionner avec ActiveCampaign. 

Cependant, il y a certains avantages à configurer manuellement les enregistrements SPF d’ActiveCampaign pour votre nom de domaine, même si cela n’est pas nécessaire pour que SPF réussisse. Pour en savoir plus sur le SPF, consultez notre guide comprendre le SPF et son impact sur la délivrabilité d’e-mail.

Vous ne pouvez créer qu’un seul enregistrement SPF pour votre nom de domaine. Si vous disposez déjà d’un enregistrement SPF, vous devrez le modifier et non en créer un nouveau.

Pour en savoir plus, consultez ce guide SPF détaillé de notre équipe Postmark.

DKIM

DKIM (Domain Keys Identified Mail) est une signature que tout expéditeur peut appliquer à ses e-mails. Cette signature indique clairement que l’expéditeur du message est le vrai expéditeur et non un mauvais acteur. Vous pouvez utiliser n’importe quel domaine comme signature. Par exemple, une société appelée « Dog Bandanas » signera ses messages avec le domaine « dogbandanas.com » pour confirmer que le message a été envoyé par « Dog Bandanas ».

Pour ce faire, une signature cryptographique cachée est insérée dans l’en-tête de votre e-mail (ActiveCampaign s’en charge), puis une clé publique est placée sur le DNS de votre site web pour vérifier l’authenticité de cette signature.

DKIM évite tout hameçonnage et usurpation de votre domaine. De plus, il permet aux fournisseurs de messagerie tels que Gmail, Microsoft et Oath (Yahoo, AOL, Verizon) de suivre la réputation d’e-mail de votre domaine d’envoi.

Si la réputation de votre domaine d’envoi est plus forte que celle des adresses IP d’envoi, les fournisseurs de messagerie peuvent adopter par défaut la réputation de votre domaine d’envoi, améliorant ainsi les performances de votre e-mail.

Pour configurer DKIM avec ActiveCampaign, il suffit de configurer un domaine d’envoi. La configuration d’un domaine d’envoi vous guide à travers la configuration de DKIM.

Pour en savoir plus sur DKIM, vous pouvez consulter ce guide détaillé DKIM de notre équipe Postmark.

DMARC

DMARC (Domain-based Message Authentication, Reporting & Conformance, Authentification, notification et conformité des messages basés sur un domaine) est une norme qui s’appuie sur SPF et DKIM. Il permet au propriétaire du domaine de créer une politique qui indique aux fournisseurs de messagerie (tels que Google ou Microsoft) ce qu’il convient de faire si l’e-mail ne passe pas les contrôles SPF et DKIM.

Lorsque vous configurerez un domaine d’envoi avec ActiveCampaign, nous vous aiderons à configurer au minimum un enregistrement DMARC de base. Vous pouvez considérer ce simple enregistrement DMARC comme un espace réservé et il n’aura aucun impact sur les messages que vous envoyez, mais il satisfera les exigences de Gmail et de Yahoo en matière d’enregistrement DMARC de base. Si vous souhaitez sécuriser davantage votre domaine avec DMARC, nous vous recommandons d’envisager notre produit partenaire DMARC Digests.

DMARC prend en charge trois configurations stratégiques principales :

• « None »
  Indique que les e-mails doivent être traités normalement en cas d’échec de DMARC Cela équivaut à ne pas avoir d’enregistrement DMARC, bien que vous puissiez toujours utiliser les fonctions de rapport de DMARC.
• « Quarantine »
  Indique que les e-mails doivent être placés dans le dossier spam si la vérification DMARC échoue.
• « Reject »
  Indique que les e-mails doivent être refusés (non délivrés au destinataire) si la vérification DMARC échoue.

L’utilisation d’une politique DMARC « Quarantine » ou « Reject » nécessitera la configuration d’un enregistrement DKIM décent pour votre domaine d’envoi, sinon tout votre courrier provenant d’ActiveCampaign échouera au test DMARC. Cela le renverra vers le dossier spam (« Quarantine ») ou le bloquera complètement (« Reject »). Veillez à configurer DKIM pour tous vos domaines d’envoi avant de configurer un enregistrement DMARC strict. Lorsque vous configurerez un domaine d’envoi avec ActiveCampaign, le DKIM sera pris en charge. 

Voici quelques-uns des nombreux avantages de la mise en place de DMARC :

• Les enregistrements DMARC empêchent l’usurpation de votre domaine
• DMARC est nécessaire pour la configuration de BIMI. Consultez ce guide détaillé BIMI de notre équipe Postmark
• DMARC est une obligation pour la livraison de base à de nombreux fournisseurs de messagerie tels que Gmail et Yahoo

Nos amis de Postmark ont largement exploré DMARC : Qu’est-ce que c’est et pourquoi en avez-vous besoin ?

Après avoir mis en place l’authentification

Il est également essentiel que ce domaine dispose d’un enregistrement MX (échangeur de messagerie). Cet enregistrement précise quel est le serveur de messagerie qui accepte les e-mails pour le compte d’un nom de domaine. Pour ce faire, il faut généralement configurer un fournisseur comme Gsuite ou Office pour accepter les messages. Si vous recevez déjà des messages avec votre domaine, tout est fait pour vous.

Méthodes d’authentification supplémentaires

BIMI

BIMI (Brand Indicators for Message Identification [indicateurs de marque pour l’identification des messages) est une nouvelle norme qui s’appuie sur DMARC. BIMI permet aux propriétaires de domaines qui ont mis en œuvre DMARC avec le mode « Enforcement » d’acheter un certificat de marque vérifiée (VMC) afin d’afficher un logo BIMI pour leur marque dans les e-mails. Les destinataires disposent ainsi d’un moyen facile d’identifier visuellement les messages de confiance.

En tant que norme récente, BIMI n’est pas encore largement adoptée par les propriétaires de domaines ou les fournisseurs de messagerie, et vous n’avez pas besoin de la configurer. Toutefois, si vous souhaitez en savoir plus, vous pouvez consulter les sites suivants :

• BIMI
• Digests DMARC
• Brand Indicators for Message Identification, indicateurs de marque pour l’identification des messages

SenderID

SenderID est une norme d’authentification créée par Microsoft et destinée à remplacer SPF. Cependant, SenderID est devenu obsolète et n’est plus utilisée, inutile donc de la configurer.

Si vous avez des enregistrements SenderID actuellement définis dans le DNS (enregistrement TXT commençant par spf2.0), vous devriez les supprimer.

SPF (enregistrement commençant par v=spf1) est toujours la norme d’authentification largement soutenue et recommandée par le secteur.

Lectures complémentaires

Dans cet article, nous n’avons pas tenté d’expliquer le processus technique du fonctionnement de SPF, DKIM et DMARC. Chacun de ces protocoles d’authentification dispose d’un site web public dans lequel la spécification technique est expliquée en détail :

• SPF
• DKIM
• DMARC
• BIMI
• SPF vs. IDExpéditeur