Une IP dédiée ne suffit plus, à elle seule, à garantir une bonne délivrabilité des emails. Depuis 2024, les grands webmails imposent trois protocoles techniques — SPF, DKIM et DMARC — à tout expéditeur qui veut voir ses messages atterrir en boîte de réception plutôt qu’en spam. Mise à jour : août 2026.
SPF : qui a le droit d’envoyer pour votre domaine ?
SPF (Sender Policy Framework) est un enregistrement DNS qui liste les serveurs autorisés à expédier des emails au nom d’un domaine. Le serveur destinataire compare l’adresse IP de l’expéditeur — dédiée ou mutualisée — à cette liste : en son absence, ou en cas d’IP non déclarée, le message perd immédiatement des points de confiance et risque le dossier spam.
DKIM : la signature qui prouve l’intégrité du message
DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque email, vérifiable par le serveur receveur grâce à une clé publique publiée dans le DNS. Contrairement à SPF, la signature DKIM suit le message même s’il est relayé par un tiers, ce qui la rend plus robuste face aux transferts et aux listes de diffusion.
DMARC : la politique qui relie SPF et DKIM
DMARC ne remplace ni SPF ni DKIM : il vérifie leur alignement avec le domaine visible dans le champ « De » et applique une politique — ignorer, mettre en quarantaine ou rejeter — en cas d’échec. Le déploiement recommandé est progressif : on démarre en p=none pour observer les rapports, puis on durcit vers p=quarantine et enfin p=reject. Un passage complet prend généralement 6 à 12 semaines, rapports compris.
Tableau comparatif SPF, DKIM, DMARC
| Protocole | Rôle | Où il se configure | Ce qu’il empêche |
|---|---|---|---|
| SPF | Autorise des serveurs d’envoi | Enregistrement TXT du domaine | L’usurpation par un serveur non déclaré |
| DKIM | Signe cryptographiquement le message | Clé DNS + en-tête du mail | La modification du contenu en transit |
| DMARC | Aligne SPF/DKIM et fixe la sanction | Enregistrement TXT _dmarc | Le spoofing du domaine visible par le destinataire |
Pourquoi l’IP dédiée change la donne
Sur une IP mutualisée, la réputation de l’ensemble des expéditeurs qui partagent cette adresse rejaillit sur vos propres envois : un seul mauvais expéditeur peut faire chuter la délivrabilité de tout le groupe. Une IP dédiée retire cette variable — mais elle n’a d’intérêt réel qu’à partir d’un certain volume d’envoi, et sans SPF, DKIM et DMARC correctement alignés derrière elle, elle n’apporte à elle seule aucune garantie de délivrabilité. Le reverse DNS (enregistrement PTR) associé à l’IP fait d’ailleurs partie des mêmes vérifications de réputation que mènent Gmail, Yahoo et Microsoft.
Depuis février 2024, Gmail et Yahoo exigent SPF, DKIM et DMARC pour tout expéditeur dépassant 5 000 messages par jour, avec un taux de plaintes inférieur à 0,3 % et un lien de désabonnement en un clic ; Microsoft a suivi le mouvement le 5 mai 2025. Une IP dédiée mal préparée, sans montée en charge progressive (IP warming), s’expose au même risque qu’une IP mutualisée mal gérée : un blacklistage RBL qui bloque tous les envois, quel que soit l’alignement DMARC.
Checklist de mise en place
- Publier un enregistrement SPF listant tous les serveurs et prestataires autorisés à envoyer
- Activer DKIM chez l’hébergeur ou le prestataire d’emailing et publier la clé publique dans le DNS
- Publier un enregistrement DMARC en
p=noneavec une adresse de rapport (rua) avant tout durcissement - Analyser les rapports pendant plusieurs semaines avant de passer en quarantine puis reject
- Vérifier le PTR et les autres enregistrements du glossaire technique associés à l’IP dédiée
Questions fréquentes
SPF, DKIM et DMARC suffisent-ils sans IP dédiée ?
Oui pour de petits volumes : les trois protocoles fonctionnent aussi sur une IP mutualisée. L’IP dédiée devient utile au-delà d’un certain débit, quand la réputation partagée devient un risque plus qu’un avantage.
Que se passe-t-il si DMARC est absent ?
Sans DMARC, un domaine peut être usurpé par un tiers même si SPF et DKIM sont configurés séparément, car rien ne vérifie leur alignement avec l’adresse visible par le destinataire.
Combien de temps pour passer en DMARC p=reject ?
Comptez généralement 6 à 12 semaines : le temps d’observer les rapports agrégés, de corriger les sources d’envoi légitimes non déclarées, puis de durcir progressivement la politique.
Sources
- Maîtriser SPF, DKIM et DMARC pour la délivrabilité des e-mails — MailGenius
- The Complete DMARC Best Practices Guide — EasyDMARC
- Email authentication best practice — Microsoft Learn
Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale
Table des contenus
