Sécurité du courriel et protection du domaine

SPF, DKIM et DMARC, expliqués simplement

SPF, DKIM et DMARC sont trois courts enregistrements texte publiés dans le DNS de votre domaine. SPF indique quels serveurs ont le droit d’envoyer du courriel pour votre domaine, DKIM appose une signature qui prouve que le message est arrivé intact, et DMARC dit au serveur destinataire quoi faire d’un message qui porte votre nom sans réussir ces vérifications.¹²³

DMARC fait de SPF et DKIM une règle. Un message réussit le contrôle DMARC lorsque SPF ou DKIM réussit et que le domaine vérifié correspond à l’adresse que votre client voit dans le champ De. Le Centre canadien pour la cybersécurité parle de « mise en correspondance des domaines » : sans elle, un fraudeur peut valider SPF sur son propre domaine et afficher quand même votre nom.⁴⁵

Depuis mai 2026, DMARC est une norme Internet à part entière : la RFC 9989 remplace l’ancienne RFC 7489. Pour un bureau, deux changements comptent. Le réglage de pourcentage disparaît, et un nouvel indicateur de mode test permet de publier une politique avant que les destinataires l’appliquent.³

Usurpation de courriel et fraude du président : le risque concret

L’usurpation de courriel est possible parce que le courrier Internet laisse n’importe qui écrire n’importe quelle adresse dans le champ De. Un domaine sans politique DMARC de rejet ne donne aux serveurs destinataires aucune consigne de refus : une fausse facture à votre nom peut donc arriver chez un client avec l’allure d’une vraie.⁴

La fraude du président suit le même chemin. Un message qui semble venir de la direction demande un virement urgent et confidentiel à la personne qui paie les fournisseurs. Quand l’adresse affichée est exactement celle de votre domaine, DMARC au rejet la fait refuser à l’entrée chez vos partenaires qui appliquent la norme.

Le Centre canadien pour la cybersécurité compte la mise en œuvre de DMARC sur tous les services de courrier électronique parmi ses contrôles de base pour les petites et moyennes organisations, avec le filtrage du courriel entrant et sortant.⁶ Google exige SPF, DKIM et un enregistrement DMARC de quiconque envoie 5 000 messages ou plus par jour vers des comptes Gmail personnels.⁷

• Adresse De falsifiée sur votre domaine exact : bloquée par DMARC au rejet, une fois chaque expéditeur légitime mis en correspondance.
• Domaine sosie à une lettre près : hors de la portée de DMARC; on le contre en enregistrant les variantes évidentes et par une règle de paiement que le personnel applique.
• Vraie boîte prise avec un mot de passe volé : contrée par l’authentification multifacteur, des alertes sur les nouvelles redirections et les vérifications décrites plus bas.

Le déploiement DMARC : none, quarantine, reject

Un déploiement DMARC sûr fait monter la politique en trois étapes, none, quarantine, puis reject, et seulement quand chaque service qui envoie en votre nom réussit les contrôles. Le Centre canadien pour la cybersécurité et Microsoft décrivent tous deux cette progression : passer d’emblée au rejet est la façon habituelle dont un bureau cesse de recevoir ses propres avis de facturation.⁴⁵

Chaque étape dure le temps que votre courriel réel fasse ses preuves. Nous maintenons une étape pendant au moins un cycle complet de vos envois habituels, fin de mois comprise, et passons à la suivante quand les résultats sont propres. Le rythme dépend du nombre de services externes qui envoient pour vous; les dates prévues figurent dans la lettre de mandat et nous les ajustons ouvertement si une étape réserve une surprise.

DMARC pour le courriel sur Microsoft 365 et Google Workspace

La configuration de DMARC pour le courriel suit la même logique sur Microsoft 365 et sur Google Workspace : les enregistrements se publient chez votre registraire ou votre hébergeur DNS, et chaque plateforme a sa propre marche à suivre pour activer la signature DKIM avec votre domaine. Aucune des deux ne crée l’enregistrement DMARC d’un domaine personnalisé à votre place.⁵⁸

Chez Microsoft, le courriel sortant d’un domaine en quarantine ou en reject qui échoue au contrôle DMARC passe par un groupe de distribution à risque élevé : un service mal aligné nuit donc à plus d’un message.⁵ Google demande d’activer SPF ou DKIM environ 48 heures avant d’ajouter DMARC.⁸

• Microsoft 365 : signature DKIM activée pour chaque domaine personnalisé, enregistrement DMARC ajouté aussi au domaine *.onmicrosoft.com, et services d’envoi de masse déplacés vers un sous-domaine pour garder leur réputation séparée de celle de votre personnel.⁵
• Google Workspace : clé DKIM générée dans la console d’administration et publiée, expéditeurs externes vérifiés pour SPF et DKIM sur votre domaine, politique relevée seulement quand les rapports sont propres.⁸
• Les deux : le courriel relayé par des listes de diffusion ou d’anciens systèmes peut briser DKIM; nous repérons ces chemins et décidons avec vous du traitement de chacun.

Les boîtes de courriel, l’autre moitié du travail

La sécurité du courriel couvre aussi les boîtes derrière le domaine, parce que la plupart des pertes liées aux fausses factures commencent dans un vrai compte que quelqu’un d’autre peut lire. Les enregistrements du domaine bloquent la falsification; les vérifications des boîtes bloquent la lecture discrète et la redirection qui précèdent un changement de coordonnées bancaires.

Une boîte qui contient des noms, des adresses ou des dossiers de clients renferme des renseignements personnels. La LPRPDE exige des mesures de sécurité adaptées à leur sensibilité. Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé exige des mesures de sécurité raisonnables et, en cas d’incident de confidentialité présentant un risque de préjudice sérieux, un avis à la Commission d’accès à l’information et aux personnes concernées.⁹¹⁰ Notre page LPRPDE et Loi 25 traite de ce volet.

• Authentification multifacteur sur chaque compte, en commençant par la direction, la comptabilité et toute personne qui approuve un paiement.
• Revue de chaque règle de boîte et de chaque redirection existante; ce que personne ne reconnaît vous est signalé le jour même.
• Alertes sur les nouvelles adresses de redirection, les nouvelles règles de boîte et les nouveaux comptes administrateurs.
• Comptes administrateurs séparés des boîtes utilisées au quotidien.
• Clés DKIM de 2048 bits quand la plateforme le permet, avec une date de renouvellement annuel consignée.⁴
• Chiffrement entre serveurs de courrier (MTA-STS) quand votre fournisseur le prend en charge.⁴

Ce que vous avez en main à la fin

À la fin du mandat, votre domaine est en politique DMARC de rejet, vous avez une liste écrite de chaque service autorisé à envoyer en votre nom et un court rapport qui montre l’état des enregistrements avant et après. Le rapport vous appartient : vous pouvez le remettre à votre assureur, à votre vérificateur ou à votre prochain fournisseur informatique.

• Enregistrements SPF, DKIM et DMARC configurés et testés sur chaque domaine et sous-domaine visé.
• L’inventaire des expéditeurs : chaque service, le titulaire du compte, sa mise en correspondance.
• Un rapport avant-après en langage clair, avec le détail technique en annexe.
• Des recommandations pour les boîtes : authentification multifacteur, alertes de redirection et de règles, comptes administrateurs.
• Une note sur la marche à suivre quand vous ajoutez un service qui envoie du courriel, pour que la protection survive au prochain achat de logiciel.