SPF, DKIM et DMARC dans Exchange Online : mise en place de l’authentification des messages

By Mirko Peters · 2026-10-29

Découvrez comment configurer SPF, DKIM et DMARC dans Exchange Online pour sécuriser votre domaine, empêcher l’usurpation d’identité et garantir un taux de remise des messages élevé.

Automatically translated with AI from the original post. Read the English original

Sécuriser la messagerie sortante et entrante de votre organisation dans Microsoft 365 exige une configuration correcte de SPF, DKIM et DMARC. Ce guide détaille le fonctionnement combiné de ces trois protocoles essentiels d’authentification des messages dans Exchange Online, afin de protéger votre domaine contre l’usurpation d’identité, le hameçonnage et les échecs de remise indésirables.

Points clés

• SPF définit les serveurs de messagerie autorisés à envoyer des e-mails au nom de votre domaine personnalisé.
• DKIM signe cryptographiquement vos messages sortants afin de vérifier que leur contenu n’a pas été modifié en transit.
• DMARC s’appuie sur les résultats de SPF et de DKIM pour déterminer la manière dont les serveurs destinataires doivent traiter les e-mails non authentifiés se présentant comme provenant de votre organisation.
• Le routage par défaut onmicrosoft.com assure une remise de base, mais les domaines personnalisés exigent des enregistrements SPF et DKIM explicites dans votre DNS public.
• Une surveillance DMARC efficace commence par une stratégie « none » avant de passer à une mise en quarantaine ou à un rejet stricts.

Comprendre l’authentification des messages dans Exchange Online

Lors d’une migration vers Exchange Online, les organisations se concentrent souvent sur la migration des boîtes aux lettres, les connecteurs hybrides et le partage des calendriers. Pourtant, bien acheminer vos messages implique bien plus que de simplement pointer les enregistrements MX vers Microsoft. Sans authentification appropriée, les communications professionnelles légitimes finissent fréquemment dans les dossiers de courrier indésirable ou, pire, des acteurs malveillants usurpent facilement l’identité de votre marque.

Les protocoles d’authentification des messages jouent le rôle de passeport numérique et de gardes de sécurité pour votre domaine. Lorsqu’une boîte aux lettres Exchange Online envoie un e-mail à un destinataire externe comme Gmail ou Yahoo, ces serveurs destinataires veulent une preuve absolue que le message provient réellement de votre organisation et n’a pas été falsifié par un tiers malveillant. C’est là que le trio SPF, DKIM et DMARC devient indispensable pour tout administrateur cloud moderne.

Le rôle de SPF dans Exchange Online

Le Sender Policy Framework (SPF) est un enregistrement TXT fondamental publié auprès de votre fournisseur DNS public. Il énumère explicitement les adresses IP et les services autorisés à envoyer des e-mails au nom de votre domaine. Pour un locataire Exchange Online, votre enregistrement SPF doit inclure le mécanisme d’inclusion de Microsoft.

Un enregistrement SPF type pour Exchange Online est remarquablement simple et contient généralement include:spf.protection.outlook.com. Lorsqu’un serveur externe reçoit un e-mail provenant de votre domaine, il interroge votre DNS public, consulte l’enregistrement SPF et vérifie si l’adresse IP du serveur d’envoi figure dans votre liste autorisée. Si votre organisation utilise des outils marketing tiers, des systèmes de gestion de tickets ou des plateformes RH qui envoient des messages en votre nom, ces services doivent également être intégrés avec soin dans votre enregistrement SPF unique afin d’éviter les erreurs de syntaxe et les dépassements de la limite de recherches DNS.

Mise en place de la signature DKIM

Alors que SPF valide le serveur d’envoi, DomainKeys Identified Mail (DKIM) valide l’intégrité du message lui-même. DKIM ajoute une signature numérique à l’en-tête de chaque e-mail sortant. Cette signature est liée cryptographiquement à une clé publique publiée dans les paramètres DNS de votre domaine.

Exchange Online simplifie la configuration de DKIM via le portail Microsoft Defender, même s'il faut créer des enregistrements CNAME spécifiques chez votre bureau d'enregistrement DNS externe. Une fois activé, Exchange Online signe automatiquement vos messages sortants. Si un acteur malveillant intercepte et modifie votre message en cours de transit, le hachage cryptographique ne passe plus la vérification, ce qui signale immédiatement à la passerelle de messagerie destinataire que le message a été altéré. Activer DKIM est une étape indispensable pour améliorer la délivrabilité auprès des principaux fournisseurs de messagerie, qu'ils soient grand public ou professionnels.

Appliquer les stratégies DMARC

Domain-based Message Authentication, Reporting, and Conformance (DMARC) réunit SPF et DKIM au sein d'une stratégie unifiée. Un enregistrement DMARC indique aux serveurs de messagerie destinataires la conduite à tenir si un message entrant échoue aux vérifications SPF et DKIM. Point essentiel : DMARC introduit aussi des règles d'alignement, qui garantissent que le domaine visible par l'utilisateur dans l'en-tête « De » correspond aux domaines authentifiés par SPF et DKIM.

Lorsque vous commencez avec DMARC dans Exchange Online, les administrateurs doivent toujours débuter par une stratégie de surveillance (p=none). Ce paramètre demande aux serveurs destinataires d'envoyer chaque jour des rapports XML agrégés et des rapports forensiques vers une adresse de signalement désignée, sans bloquer aucun message. L'analyse de ces rapports permet aux administrateurs IT de repérer les expéditeurs non autorisés, de corriger les systèmes internes mal configurés, puis de faire évoluer progressivement leur stratégie vers p=quarantine, puis enfin vers p=reject, pour une protection maximale du domaine.

Résoudre les pièges courants du flux de messagerie

Même avec une configuration DNS correcte, les administrateurs qui gèrent le flux de messagerie d'Exchange Online rencontrent des pièges subtils. Un problème fréquent survient dans les déploiements hybrides, où les messages transitent à la fois par les serveurs Exchange locaux et par Exchange Online Protection (EOP). Si les connecteurs de relais internes ne disposent pas des autorisations appropriées ni des déclarations d'adresses IP source, les messages sortants risquent de compromettre la signature DKIM ou de déclencher des échecs SPF souples (softfail).

Autre difficulté récurrente : les applications tierces qui relaient du courrier via Exchange Online, par soumission SMTP client ou par envoi direct. Si ces applications utilisent votre domaine personnalisé principal dans l'adresse de l'expéditeur sans y être explicitement autorisées dans votre enregistrement SPF, ni authentifiées via une boîte aux lettres dédiée, les filtres anti-spam signalent rapidement vos messages. Consulter le suivi des messages dans le Centre d’administration Exchange permet d'identifier ces failles d'authentification avant qu'elles n'affectent l'activité quotidienne.

Conclusion et prochaines étapes

Sécuriser votre domaine personnalisé dans Exchange Online va bien au-delà de la simple création de boîtes aux lettres et du partage de calendriers. Maîtriser SPF, DKIM et DMARC garantit que les communications de votre organisation restent fiables, conformes et correctement remises dans les boîtes de réception des destinataires du monde entier. Pour explorer l'architecture de messagerie de base, les boîtes aux lettres partagées et les stratégies cloud ou hybrides, n'hésitez pas à écouter l'épisode complet du podcast, qui propose une explication claire et sans jargon de tout ce qui se passe au cœur du moteur de messagerie phare de Microsoft.

Questions fréquentes

Quelle est la chaîne d’inclusion SPF pour Exchange Online ?

La chaîne d’inclusion SPF standard pour Exchange Online dans Microsoft 365 est include:spf.protection.outlook.com. Elle indique aux serveurs destinataires de faire confiance à l’infrastructure d’envoi cloud autorisée de Microsoft pour votre domaine.

Exchange Online active-t-il automatiquement DKIM ?

Non. Microsoft fournit l'infrastructure, mais les administrateurs doivent activer manuellement DKIM dans le portail Microsoft Defender et publier les enregistrements CNAME requis auprès de leur bureau d'enregistrement DNS public.

Quelle est la stratégie DMARC de départ recommandée ?

La stratégie de départ recommandée est p=none. Elle permet de collecter les rapports DMARC agrégés et forensiques sans affecter la remise des messages, et vous aide à identifier les sources de messagerie légitimes avant d'appliquer des stratégies de quarantaine ou de rejet plus strictes.

Pourquoi mes e-mails Exchange Online atterrissent-ils dans les courriers indésirables ?

Les messages finissent souvent dans les courriers indésirables si votre domaine ne dispose pas d'enregistrements SPF, DKIM ou DMARC correctement configurés, ou si votre adresse IP d'envoi a un historique de réputation médiocre. La mise en place de ces protocoles d'authentification renforce la réputation de l'expéditeur et garantit un placement optimal dans les boîtes de réception.