Sécuriser son nom de domaine : DNSSEC, SPF, DMARC et CAA expliqués
La plupart des domaines — y compris d'entreprises — laissent ouvertes deux portes béantes : l'usurpation d'expéditeur e-mail et l'émission de certificats par n'importe quelle autorité. Quatre enregistrements DNS, tous gratuits, ferment ces portes. Dans l'ordre d'impact : 🇬🇧 English version
1 — SPF : qui a le droit d'envoyer des e-mails en votre nom
Un TXT à la racine : v=spf1 include:_spf.google.com ~all (adapté à votre fournisseur). Cas trop souvent oublié : un domaine qui n'envoie jamais d'e-mail doit publier v=spf1 -all — sinon des spammeurs peuvent usurper des adresses @votre-domaine impunément.
2 — DMARC : la politique qui rend SPF/DKIM contraignants
Sans DMARC, un échec SPF n'a souvent aucune conséquence. Le TXT _dmarc fixe la politique : commencez par v=DMARC1; p=quarantine; rua=mailto:vous@… puis passez à p=reject après quelques semaines de rapports. Pour un domaine sans e-mail : p=reject directement, avec adkim=s; aspf=s.
3 — DNSSEC : l'authenticité des réponses DNS
DNSSEC signe cryptographiquement votre zone : un résolveur validant détecte toute réponse falsifiée (empoisonnement de cache). Chez Cloudflare, c'est un bouton (DNS → DNSSEC → activer, puis l'enregistrement DS est transmis au registre automatiquement si le domaine y est enregistré). Vérifiez l'état réel dans le RDAP — beaucoup de domaines croient l'avoir activé sans DS publié.
4 — CAA : qui peut émettre vos certificats SSL
L'enregistrement CAA liste les autorités autorisées : 0 issue "letsencrypt.org" par exemple. Toute autre autorité refusera d'émettre un certificat pour votre domaine — ce qui neutralise une famille entière d'attaques par certificat frauduleux. Listez uniquement les CA que vous utilisez réellement.
Vérifier votre note en 30 secondes
Notre vérificateur en ligne lit gratuitement l'état DNSSEC et les enregistrements de chaque domaine ; l'application RegistrarPilot va plus loin avec une note de santé A–E par domaine (site en ligne, HTTPS, SPF, DMARC, DNSSEC, échéance).
Questions fréquentes
Mon domaine n'envoie pas d'e-mails, suis-je concerné ?
Encore plus : sans SPF « v=spf1 -all » et DMARC « p=reject », n'importe qui peut envoyer des e-mails à votre nom sans qu'aucun filtre ne s'y oppose. Deux enregistrements TXT suffisent à fermer cette porte.
DNSSEC peut-il casser mon site ?
Mal géré, oui : un enregistrement DS orphelin après une migration DNS rend le domaine irrésoluble. Règle d'or : désactiver DNSSEC (retirer le DS) avant de changer d'hébergeur DNS, le réactiver après.
Quelle est la différence entre SPF et DKIM ?
SPF autorise des serveurs d'envoi ; DKIM signe cryptographiquement chaque message. Les deux se complètent, et DMARC exploite leurs résultats pour appliquer une politique (quarantaine, rejet) et vous envoyer des rapports.