SPF, DKIM, S/MIME : ce que ces protocoles font, et ce qu'ils ne font pas

Une fausse impression de sécurité

Votre service informatique a configuré SPF, DKIM et DMARC. Peut-être même S/MIME. Vous pensez que vos emails sont sécurisés.

Pourtant, la fraude au virement par email a progressé de 93 % chez les professionnels français en 2025. Comment est-ce possible ?

Ce que font réellement ces protocoles

SPF

SPF vérifie que l'email vient bien d'un serveur autorisé pour votre domaine. Il dit : ce serveur a le droit d'envoyer au nom de ce domaine. Il ne dit pas qui a envoyé cet email.

DKIM

DKIM appose une signature numérique sur l'email pour garantir qu'il n'a pas été modifié en transit. Il garantit l'intégrité du message, pas l'identité de l'expéditeur réel.

DMARC

DMARC s'appuie sur SPF et DKIM pour définir ce que le destinataire doit faire si les vérifications échouent. Il n'apporte pas de preuve supplémentaire sur qui a envoyé l'email.

S/MIME

S/MIME va plus loin : il permet de signer numériquement un email avec un certificat personnel. La signature prouve que le message vient du détenteur du certificat. C'est plus solide, mais avec une limite importante.

La limite que personne ne mentionne

S/MIME est un protocole point à point. Pour que la signature soit visible et vérifiable, le destinataire doit utiliser un client email compatible correctement configuré, faire confiance à l'autorité de certification qui a émis votre certificat, et disposer de votre clé publique.

Si votre client envoie un email signé S/MIME à un confrère qui consulte sa messagerie via un webmail basique, la signature est invisible. Aucune vérification n'a lieu. Aucun signal d'alerte ne s'affiche si quelqu'un usurpe votre identité.

De plus, S/MIME ne génère pas d'horodatage qualifié au sens du règlement eIDAS (UE n°910/2014).

Ce qui se passe dans une fraude au virement type

Un attaquant envoie un email qui semble venir de vous, ou d'un de vos partenaires, à votre client. L'email passe les filtres SPF et DKIM parce que l'attaquant utilise un domaine ressemblant ou a compromis un compte légitime. Le client voit un nom familier, un ton habituel, une demande urgente. Il vire.

Ni SPF, ni DKIM, ni S/MIME n'ont empêché quoi que ce soit.

Ce que la certification de l'identité email apporte en plus

Une approche de certification cryptographique avec horodatage qualifié eIDAS fonctionne différemment. Chaque email envoyé génère une empreinte unique certifiée par une autorité d'horodatage européenne reconnue. Cette certification est vérifiable par n'importe qui, sur n'importe quel appareil, sans configuration préalable, via une URL publique.

Si quelqu'un reçoit un email qui prétend venir de votre cabinet, il peut vérifier en un clic que ce message a bien été envoyé par vous, ou constater qu'aucune certification n'existe pour cet email.

La vérification ne dépend pas du client email du destinataire. Elle ne dépend pas d'une configuration technique préalable. Elle ne dépend pas de la vigilance de l'utilisateur.

Ce que ça change concrètement

Pour un avocat, un expert-comptable ou un notaire qui envoie des instructions de virement, des modifications de RIB ou des documents contractuels par email : la certification apporte la preuve que l'email vient bien de vous, et permet à votre client de le vérifier.

Ce n'est pas un remplacement de SPF, DKIM ou S/MIME. C'est une couche complémentaire qui adresse ce que ces protocoles ne couvrent pas : la preuve d'identité vérifiable par le destinataire, sans prérequis technique.

Questions fréquentes

Sources : Cybermalveillance.gouv.fr, Rapport d'activité 2025. RFC 3161 (protocole d'horodatage qualifié). Règlement eIDAS (UE) n°910/2014.