SPF, DKIM et DMARC pour Microsoft 365 : étape par étape
Voici la version appliquée, à faire dans cet ordre, pour Microsoft 365 — si vous voulez d'abord comprendre ce que font réellement SPF, DKIM et DMARC, lisez ces guides. Celui-ci ne couvre que les enregistrements et les étapes du portail propres à Microsoft.
SPF pour Microsoft 365
Ajoutez un unique enregistrement TXT à la racine de votre domaine :
v=spf1 include:spf.protection.outlook.com -all
La documentation de Microsoft utilise par défaut -all (échec strict) plutôt que le ~all (échec souple) courant ailleurs — un point de départ plus strict, à connaître avant de copier un enregistrement depuis l'exemple d'un autre fournisseur.
DKIM pour Microsoft 365 : deux CNAME, pas un TXT
Contrairement à l'unique enregistrement TXT de Google, le DKIM de Microsoft 365 utilise deux enregistrements CNAME générés par Microsoft, chacun pointant vers une clé hébergée par Microsoft :
selector1._domainkey.yourdomain.com. CNAME selector1-yourdomain-com._domainkey.<tenant>.onmicrosoft.com. selector2._domainkey.yourdomain.com. CNAME selector2-yourdomain-com._domainkey.<tenant>.onmicrosoft.com.
- Récupérez les deux valeurs CNAME pour selector1._domainkey et selector2._domainkey depuis le portail Microsoft Defender (Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM), ou via la cmdlet PowerShell Set-DkimSigningConfig
- Ajoutez les deux enregistrements CNAME exactement comme indiqué
- Activez la signature DKIM pour le domaine sur ce même écran du portail Defender — comme pour Google, publier les enregistrements seuls n'active pas la signature
DMARC pour Microsoft 365
Comme partout ailleurs : un enregistrement TXT à _dmarc.votredomaine.com, publié directement dans le DNS plutôt que via une interface propre à Microsoft. Commencez par p=none — consultez notre guide DMARC pour le déploiement complet.
_dmarc.yourdomain.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Vérifier les trois
Une fois chaque enregistrement publié et la signature DKIM activée, une vérification de sécurité e-mail confirme que SPF, DKIM et DMARC résolvent et s'alignent correctement.
Les erreurs qui cassent cette configuration
- N'ajouter qu'un seul des deux enregistrements CNAME requis — les deux sont nécessaires, et l'absence de l'un empêche DKIM de valider
- Publier les enregistrements CNAME mais ne jamais activer la signature DKIM dans le portail Defender
- Des environnements Exchange hybrides où une partie du courrier transite par des serveurs sur site non couverts par le mécanisme include:spf.protection.outlook.com, nécessitant d'ajouter leurs propres IP à l'enregistrement SPF
Vérifiez votre configuration
Voyez la théorie en pratique — lancez Vérification de la sécurité e-mail pour votre propre domaine.