Le symptôme : des emails importants qui n'arrivent jamais à destination
Vous envoyez une facture, une proposition commerciale ou une simple relance à un client, et rien ne se passe. Pas de réponse, pas d'erreur, pas de rebond visible dans votre boîte d'envoi. Quelques jours plus tard, le client vous appelle pour dire qu'il n'a rien reçu — ou pire, il a vu le message atterrir directement dans son dossier spam et ne l'a jamais ouvert. Ce scénario se répète silencieusement dans de nombreuses entreprises marocaines, sans que personne ne fasse le lien avec un problème technique précis. On soupçonne le client d'avoir mal cherché, ou on se dit simplement que cela arrive de temps en temps, alors que la cause est souvent la même : le domaine d'envoi n'est pas correctement authentifié aux yeux des grands fournisseurs de messagerie, Gmail, Outlook ou Yahoo en tête. Ces fournisseurs appliquent des règles de plus en plus strictes pour lutter contre le spam et l'usurpation d'identité, et un domaine qui ne respecte pas ces règles voit sa réputation d'envoi se dégrader progressivement, jusqu'à ce qu'une part croissante de ses emails soit filtrée automatiquement. Le problème est d'autant plus insidieux qu'il n'envoie aucun signal d'alerte : aucune notification ne vient vous prévenir que vos emails sont filtrés. Vous continuez à envoyer, en pensant que tout va bien, pendant que des opportunités commerciales et des relations clients se dégradent en silence.
SPF : qui a le droit d'envoyer des emails au nom de votre domaine
Le SPF (Sender Policy Framework) est un enregistrement placé dans la configuration DNS de votre domaine, qui liste explicitement les serveurs autorisés à envoyer des emails en votre nom. Quand un email arrive chez un destinataire, son serveur de messagerie vérifie si l'expéditeur figure bien dans cette liste. Si votre logiciel de facturation, votre outil CRM ou votre plateforme d'emailing envoie des messages depuis votre adresse professionnelle sans être déclaré dans le SPF, ces messages ressemblent à une usurpation aux yeux du destinataire — même s'ils sont parfaitement légitimes. C'est l'une des causes les plus fréquentes de mauvaise délivrabilité : une entreprise ajoute un nouvel outil qui envoie des emails en son nom (facturation en ligne, plateforme de newsletter, logiciel de gestion commerciale) sans jamais mettre à jour son enregistrement SPF, resté figé depuis sa création initiale, parfois par un prestataire qui n'existe plus. Le SPF n'a rien de compliqué à consulter une fois qu'on sait où regarder, mais il est presque toujours ignoré une fois configuré, alors que la liste des outils utilisés évolue en permanence dans une entreprise active. Un SPF obsolète ou trop restrictif bloque vos propres emails ; un SPF absent ne protège personne.
DKIM : la signature qui prouve que le message n'a pas été modifié en chemin
Le DKIM (DomainKeys Identified Mail) fonctionne différemment : il ajoute une signature numérique chiffrée à chaque email sortant, générée à partir d'une clé privée associée à votre domaine. Le serveur du destinataire récupère la clé publique correspondante, publiée elle aussi dans votre DNS, et vérifie que la signature est valide et que le contenu du message n'a pas été altéré entre l'envoi et la réception. C'est une garantie d'intégrité et d'authenticité complémentaire à celle du SPF, qui lui ne vérifie que le serveur d'envoi. Sans DKIM correctement configuré — ou avec des clés expirées, mal copiées dans le DNS, ou appartenant à un ancien fournisseur de messagerie — les emails perdent un signal de confiance important. Les grands fournisseurs comme Gmail combinent plusieurs signaux (SPF, DKIM, réputation du domaine, comportement des destinataires) pour décider où classer un message, et l'absence d'un seul de ces signaux augmente mécaniquement la probabilité qu'un email légitime finisse en spam, en particulier pour les nouveaux domaines ou ceux qui envoient peu de volume. Configurer DKIM correctement demande généralement d'activer une option chez son fournisseur de messagerie et de copier deux ou trois enregistrements dans le DNS — une opération technique simple, mais souvent oubliée lors de la création du domaine ou d'un changement de prestataire.
DMARC : la politique qui dit aux boîtes mail quoi faire en cas d'échec
Le DMARC (Domain-based Message Authentication, Reporting and Conformance) vient s'ajouter par-dessus SPF et DKIM. Il ne remplace ni l'un ni l'autre, mais indique aux serveurs de messagerie destinataires quelle politique appliquer lorsqu'un email échoue aux vérifications SPF ou DKIM : ne rien faire, mettre en quarantaine (dossier spam), ou rejeter purement et simplement le message. Sans enregistrement DMARC, chaque fournisseur de messagerie applique sa propre logique interne, de façon incohérente et imprévisible d'un destinataire à l'autre. Le DMARC a aussi un rôle souvent sous-estimé : la protection contre l'usurpation de votre propre domaine. Sans DMARC configuré en mode strict, rien n'empêche un attaquant d'envoyer un email qui semble provenir de votre entreprise — une fausse facture, une demande de virement urgent signée du nom de votre dirigeant — pour tromper vos clients ou vos partenaires. C'est un vecteur de fraude fréquent, et le DMARC réduit fortement ce risque en donnant aux boîtes mail des destinataires une instruction claire : rejeter tout message qui prétend venir de votre domaine sans passer les vérifications d'authenticité. Le DMARC offre également des rapports réguliers indiquant qui envoie des emails en votre nom, ce qui permet de repérer aussi bien des outils légitimes mal déclarés que des tentatives d'usurpation.
Pourquoi cette mauvaise configuration est si répandue (et comment la vérifier gratuitement)
Dans la grande majorité des cas que l'on observe chez des PME marocaines, SPF, DKIM et DMARC n'ont jamais été configurés intentionnellement, ou l'ont été une fois, au moment de la création du site ou de la messagerie, puis jamais revus. Un changement de fournisseur email (par exemple le passage à Gmail Workspace ou Microsoft 365), l'ajout d'un outil de facturation, d'un CRM ou d'une plateforme d'emailing marketing comme Mailchimp ou SendGrid, ou simplement un changement de prestataire technique, suffit à casser une configuration qui fonctionnait auparavant — souvent sans que personne ne s'en aperçoive avant plusieurs mois. Les conséquences concrètes sont réelles et coûteuses : des factures qui n'arrivent jamais et retardent les paiements, des propositions commerciales qui restent sans réponse simplement parce qu'elles n'ont jamais été lues, une relation de confiance qui s'érode avec des clients qui commencent à douter du sérieux de l'entreprise, et une exposition accrue au risque de phishing utilisant votre nom de domaine. La bonne nouvelle, c'est que diagnostiquer ces trois éléments ne prend que quelques secondes. EBH Security a développé un outil gratuit, disponible sur emailcheck.ebh.ma dans le cadre de sa suite d'outils EBH Defender, qui permet de vérifier en 30 secondes l'état de votre SPF, DKIM et DMARC et de comprendre, en langage clair, ce qui doit être corrigé.