Configurer SPF, DKIM et DMARC sur Microsoft 365

Si votre entreprise utilise Microsoft 365 pour ses courriels, voici comment activer les trois protections contre l'usurpation, étape par étape.

1. SPF — autoriser les serveurs de Microsoft

Dans votre zone DNS, ajoutez (ou complétez) un enregistrement TXT sur votre domaine :

v=spf1 include:spf.protection.outlook.com -all

Si vous envoyez aussi des courriels via d'autres services (infolettre, CRM), ajoutez leurs « include » avant le -all.

2. DKIM — signer vos courriels

Dans le portail Microsoft Defender (security.microsoft.com) → Courriel et collaboration → Politiques et règles → DKIM. Sélectionnez votre domaine, puis activez DKIM. Microsoft vous fournit deux enregistrements CNAME (selector1._domainkey et selector2._domainkey) à ajouter dans votre DNS, puis vous activez la signature.

3. DMARC — bloquer les usurpateurs

Ajoutez un enregistrement TXT sur _dmarc.votredomaine.com. Commencez en mode observation :

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.com

Après quelques semaines sans problème, montez à p=quarantine, puis à p=reject pour la protection maximale.

Les 5 pièges les plus fréquents sur Microsoft 365

1. DKIM affiché « activé » mais jamais signé. Ajouter les deux CNAME ne suffit pas : il faut revenir dans le portail et basculer l'interrupteur Signer les messages pour ce domaine. Tant que ce n'est pas fait, vos courriels partent sans signature.
2. Deux enregistrements SPF. Si un enregistrement SPF existait déjà (ancien hébergeur, site web), vous en avez maintenant deux — et la norme dit qu'un domaine avec deux SPF est invalide : les serveurs ignorent alors les deux. Fusionnez-les en un seul, avec tous les « include » à la suite.
3. La limite des 10 requêtes DNS. Chaque « include » coûte une requête, et certains en déclenchent plusieurs en cascade. Au-delà de 10, votre SPF échoue en silence (erreur « permerror ») et ne protège plus rien. Notre vérificateur SPF compte ces requêtes pour vous.
4. Passer trop vite à p=reject. Si un service (infolettre, logiciel comptable, formulaire du site) envoie en votre nom sans être autorisé, ses courriels seront bloqués du jour au lendemain. Restez en p=none le temps de lire vos rapports, puis montez.
5. Le sous-domaine oublié. Une politique DMARC sur le domaine racine couvre les sous-domaines par héritage, mais si vous publiez un sp= différent, vérifiez-le : c'est souvent par un sous-domaine oublié (info., mail.) que passe l'usurpation.

Comment savoir que c'est vraiment actif

Les changements DNS prennent de quelques minutes à quelques heures. Ensuite, deux vérifications valent mieux qu'une capture d'écran du portail : lancez notre bilan gratuit (il lit vos enregistrements publics et détecte le sélecteur DKIM réellement publié), puis envoyez-vous un vrai courriel depuis votre boîte Microsoft 365 et collez son en-tête dans notre analyseur d'en-tête : vous verrez noir sur blanc si SPF, DKIM et DMARC passent au vert du côté du destinataire.

Enfin, activez la surveillance gratuite de votre domaine : une migration, un changement de fournisseur ou une erreur de manipulation dans le DNS peut supprimer ces enregistrements sans que personne ne s'en aperçoive — parfois pendant des mois.