Configurer SPF, DKIM et DMARC avec Microsoft 365

Avant de commencer

Microsoft le dit explicitement : il n'existe pas de portail d'administration ni de commande PowerShell Microsoft 365 pour gérer les enregistrements SPF et DMARC de votre domaine. Vous les créez chez votre registrar ou votre hébergeur DNS, souvent la même société.

Pour le DKIM, c'est un mélange : les valeurs se lisent dans le portail de sécurité Microsoft (security.microsoft.com), se publient chez le registrar, puis la signature s'active dans le portail. Le domaine doit déjà avoir été ajouté à Microsoft 365.

SPF pour Microsoft 365

1. Chez votre registrar ou hébergeur DNS, ouvrez la zone DNS de votre domaine.
2. Cherchez un SPF existant (enregistrement TXT commençant par v=spf1). S'il existe, modifiez-le pour y ajouter l'include Microsoft. Sinon, créez un enregistrement TXT.

Un seul enregistrement SPF par domaine ou sous-domaine : plusieurs enregistrements provoquent une erreur SPF. Si d'autres services envoient pour vous, leurs « include » vont dans la même ligne. Microsoft recommande -all (rejet strict) pour ses domaines, parce que DKIM et DMARC sont aussi en place.

Pour la prospection, Microsoft recommande d'envoyer les emails en volume depuis un service qui n'est pas sous votre contrôle direct sur un sous-domaine (marketing.votredomaine.fr, par exemple) plutôt que sur le domaine principal. Chaque sous-domaine a alors son propre SPF.

DKIM pour Microsoft 365

1. Ouvrez le portail security.microsoft.com, puis Email & collaboration, Policies & rules, Threat policies, Email authentication settings, onglet DKIM. Les libellés peuvent varier selon la langue du portail.
2. Sélectionnez votre domaine et essayez d'activer le commutateur de signature : une boîte d'erreur affiche les valeurs des deux CNAME à créer. Le statut passe à « CnameMissing ».
3. Dans le volet de détails du domaine, relevez la section « Publish CNAMEs » et créez les deux enregistrements chez votre registrar.
4. Attendez quelques minutes, parfois plus, puis revenez dans le volet et activez « Sign messages for this domain with DKIM signatures ». Le statut doit passer à « Signing DKIM signatures for this domain ».

Ne construisez jamais la valeur à la main : elle dépend de votre domaine initial en .onmicrosoft.com. Depuis mai 2025, les nouveaux domaines personnalisés utilisent un format qui se termine par .dkim.mail.microsoft, alors que les domaines plus anciens gardent l'ancien format en .onmicrosoft.com, et les deux ne peuvent pas coexister pour un même sélecteur. Le portail affiche la bonne valeur pour votre cas.

Une commande PowerShell existe aussi pour relever les valeurs : Get-DkimSigningConfig -Identity votredomaine.fr.

DMARC pour Microsoft 365

Même principe que le SPF : aucune interface Microsoft, l'enregistrement se crée chez votre hébergeur DNS. SPF et DKIM doivent être configurés, avec une signature DKIM sur votre domaine personnalisé pour que l'alignement fonctionne.

1. Créez un enregistrement TXT dont le nom d'hôte est _dmarc (obligatoire).
2. Commencez par p=none avec une adresse rua, et lisez les rapports. Microsoft recommande une approche progressive : p=none, puis p=quarantine (avec pct par paliers de 10, 25, 50, 75 puis 100), puis p=reject.

Microsoft conseille de démarrer par un sous-domaine à faible volume et de garder le domaine parent pour la fin. Le DMARC d'un domaine couvre ses sous-domaines qui n'ont pas leur propre enregistrement.

À savoir : un message sortant de Microsoft 365 qui échoue au DMARC chez le destinataire passe par le pool d'envoi « à risque élevé » si votre politique est quarantine ou reject, sans possibilité de dérogation. Une raison de plus de monter en politique après avoir vérifié vos envois.

Les erreurs fréquentes

• Chercher où régler le SPF ou le DMARC dans le centre d'administration Microsoft : il n'y a rien, tout se fait chez le registrar.
• Reconstruire à la main la valeur des CNAME DKIM : copiez celle du portail.
• Oublier d'activer la signature dans le portail après avoir créé les CNAME : le statut reste sur CnameMissing ou désactivé.
• Plusieurs lignes v=spf1 sur le même domaine.

Questions fréquentes

Sources officielles

• Microsoft : configurer le SPF
• Microsoft : configurer le DKIM
• Microsoft : configurer le DMARC

Interfaces et valeurs relevées dans la documentation officielle le 15 octobre 2026. Les hébergeurs changent parfois leurs menus : en cas d'écart, la page officielle prime.

Autre hébergeur de messagerie ?

• OVHcloud
• Infomaniak
• Google Workspace
• Gandi
• o2switch