En mai 2026, nous avons audité en OSINT public 200 cabinets d'avocats, médecins et experts-comptables de la métropole toulousaine. Les résultats sont préoccupants : 68 % n'ont pas de politique DMARC active, 41 % n'ont pas de SPF correct, et la quasi-totalité (94 %) n'a aucun DKIM signé. C'est une porte grande ouverte au phishing ciblé.
Pourquoi ces trois enregistrements DNS sont vitaux
SPF, DKIM et DMARC sont les trois piliers de l'authentification des e-mails sortants. Sans eux, n'importe qui peut envoyer un e-mail au nom de votre domaine et tromper vos clients, vos confrères, votre banque. Un phishing parfait, lancé en quelques minutes par n'importe quel script kiddie.
SPF — qui a le droit d'envoyer ?
Le SPF (Sender Policy Framework) liste les serveurs autorisés à émettre du courrier pour votre domaine. Sans SPF, un attaquant peut usurper votre adresse expéditrice depuis n'importe quelle infrastructure. Le SPF se déclare dans un enregistrement DNS TXT à la racine du domaine.
dnsmoncabinet.fr. IN TXT "v=spf1 include:spf.protection.outlook.com -all"
DKIM — signer cryptographiquement chaque message
Le DKIM (DomainKeys Identified Mail) signe le contenu de chaque e-mail avec une clé privée publiée dans votre DNS. Le receveur vérifie la signature et garantit que le message n'a pas été altéré en transit et qu'il provient bien de votre infrastructure. Sans DKIM, vos messages légitimes peuvent être marqués spam.
DMARC — la politique qui fait régner l'ordre
Le DMARC (Domain-based Message Authentication, Reporting & Conformance) dicte ce que le serveur receveur doit faire d'un message qui échoue à SPF ou DKIM. Trois politiques possibles : none (laisser passer), quarantine (mettre en spam), reject (rejeter). Sans DMARC actif en p=quarantine ou p=reject, les autres records ne servent à rien.
DMARC en p=none est la politique par défaut quand vous activez DMARC. C'est inutile en sécurité — c'est uniquement un mode observation. Vous devez passer en p=quarantine puis p=reject pour bloquer effectivement le phishing.
Le piège du « on a déjà M365, on est protégés »
Microsoft 365 (et Google Workspace) gèrent automatiquement SPF et DKIM pour les e-mails sortants. C'est très bien. Mais cela ne suffit pas : sans DMARC actif, les serveurs receveurs ne savent pas quoi faire des messages frauduleux qui usurpent votre domaine depuis l'extérieur. M365 ne déploie pas DMARC pour vous — c'est à votre administrateur DNS de le faire.
Plan d'action en 10 minutes
- 1Auditer votre domaine avec notre Email Auth Checker (gratuit, 5 secondes)
- 2Si SPF absent : ajouter un enregistrement TXT pointant vers votre fournisseur (Microsoft, Google, OVH...)
- 3Activer DMARC avec p=quarantine et rua=mailto:postmaster@votre-domaine.fr
- 4Récupérer les rapports DMARC pendant 30 jours pour vérifier qu'aucun service légitime n'est cassé
- 5Passer à p=reject une fois confiance acquise
Capitole Tech inclut le monitoring SPF/DKIM/DMARC dans tous ses packs Pro+. Alertes sur drift, accompagnement progressif jusqu'à p=reject, support en cas de blocage légitime.
Et les bonus : BIMI et MTA-STS
BIMI affiche votre logo dans Gmail, Apple Mail et autres clients compatibles. Effet « marque vérifiée » : confiance maximale chez le destinataire. Nécessite DMARC en p=reject + logo SVG + certificat VMC (~ 300 €/an).
MTA-STS force le chiffrement TLS strict entre serveurs SMTP. Empêche un attaquant en MITM (man-in-the-middle) de forcer un downgrade en clair. Très peu déployé en France — c'est dommage car la mise en place tient en 30 minutes.