Guide de configuration de Salesforce DMARC, SPF et DKIM

Pour les utilisateurs de Salesforce qui souhaitent renforcer la sécurité de leurs e-mails, améliorer leur délivrabilité au fil du temps et atteindre les boîtes de réception Google et Yahoo sans être bloqués, cet article est fait pour vous ! Afin d'améliorer encore la sécurité des communications par e-mail, Salesforce prend en charge les protocoles d'authentification des e-mails tels que DMARC, SPF et DKIM. Si vous souhaitez protéger votre domaine contre les attaques par e-mail et réduire les plaintes pour spam sur vos e-mails, il est essentiel de mettre en œuvre ces protocoles d'authentification. Leur configuration avec votre compte Salesforce peut aider à vérifier que vos e-mails sont authentiques et fiables.

Le Sender Policy Framework (SPF) garantit que seuls les serveurs autorisés peuvent envoyer des e-mails au nom de votre domaine, tandis que le DomainKeys Identified Mail (DKIM) utilise des clés cryptographiques pour vérifier si votre e-mail a été altéré. SPF le DKIM peuvent être combinés avec le DMARC (Domain-based Message Authentication, Reporting, and Conformance) pour commencer à prévenir les attaques par usurpation d'identité et hameçonnage.

Cet article explique comment ajouter des enregistrements SPF, DKIM et DMARC à votre compte Salesforce. Plongeons dans le vif du sujet !

Comment ajouter un enregistrement SPF pour Salesforce ?

Mise en place d'un SPF pour votre compte Salesforce est essentielle, car Salesforce fournit un enregistrement SPF dédié qui garantit que les courriels envoyés à partir de votre compte passent les contrôles de sécurité.

Vous trouverez ci-dessous les instructions pour ajouter Salesforce à votre enregistrement SPF .

Simplifiez l'installation de DMARC, SPF et DKIM avec PowerDMARC !

1. Inclure l'entrée SPF de Salesforce

Incluez l'entrée SPF spécifique dans l'enregistrement SPF de votre domaine pour envoyer des e-mails à partir de Salesforce :

_spf.salesforce.com

Exemple d'enregistrement SPF pour Salesforce

Un exemple d'enregistrement SPF pour Salesforce pourrait ressembler à ceci :

v=spf1 mx include:_spf.salesforce.com ~all

Il s'agit de l'enregistrement SPF le plus simple. Il indique que votre domaine est autorisé à envoyer des messages électroniques via Salesforce. Vous pouvez également configurer plusieurs mécanismes "include" pour autoriser d'autres domaines tiers à envoyer des e-mails en votre nom. Il est important d'autoriser ces sources dans le même enregistrement SPF plutôt que de créer un nouvel enregistrement pour le même domaine.

2. Créez votre enregistrement SPF

Pour créer un enregistrement SPF sans erreur, nous vous recommandons d'utiliser un outil de génération d'enregistrements SPF . générateur d'enregistrementsSPF .

3. Testez et validez votre enregistrement SPF

Vous devez tester votre enregistrement SPF après l'avoir configuré pour vous assurer qu'il fonctionne correctement. Un outil de outil de vérificationSPF peut être utilisé pour valider l'enregistrement.

Voici comment utiliser l'outil :

• Tout d'abord, ouvrez l'outil d'interrogation SPF .
• Entrez votre nom de domaine.
• Cliquez sur le bouton "Recherche".

Vous obtiendrez un statut "Valide" si votre enregistrement SPF est correct.

Ressources complémentaires

Pour plus d'informations, consultez le guide de configuration SPF de Salesforce.

Comment ajouter un enregistrement DKIM pour Salesforce ?

Voici les instructions relatives à la création de clés DKIM dans Salesforce.

1. Naviguer vers Paramètres DKIM

Dans la configuration de Salesforce, localisez la boîte de recherche rapide. Saisissez "DKIM Keys" et sélectionnez cette option.

2. Créer une nouvelle clé DKIM

Après avoir sélectionné "DKIM Keys", cliquez sur "Create New Keys". La paire de clés DKIM est alors créée dans un état inactif par défaut.

Sélectionner la taille de la clé RSA

Sélectionnez la taille de la clé RSA en fonction des besoins de votre organisation. Tenez compte des limites des destinataires de vos courriels avant de sélectionner une clé. N'oubliez pas non plus de tenir compte des règles de sécurité.

3. Saisir un nom de sélecteur

Votre sélecteur sélecteur DKIM est un identifiant unique qui reconnaît votre clé DKIM. Saisissez un nom unique pour différencier cette clé des autres.

4. Définir un sélecteur alternatif

Le sélecteur Alternate permet à Salesforce d'effectuer une rotation automatique de vos clés DKIM pour une sécurité accrue.

5. Saisir le nom de domaine

Ensuite, vous devez spécifier un nom de domaine. Ce nom est utilisé pour envoyer des e-mails à partir de votre compte Salesforce. Le nom de domaine ne peut pas être modifié une fois qu'il a été défini.

6. Définir le motif de correspondance du domaine

Vous pouvez également contrôler le moment où Salesforce signe un e-mail avec une clé DKIM. Pour ce faire, vous pouvez utiliser un modèle de correspondance de domaine. Vous devez utiliser une liste de motifs séparés par des virgules.

7. Sauvegarder les modifications

Enregistrez vos modifications une fois que vous avez terminé toutes les étapes mentionnées ci-dessus. Votre enregistrement TXT pour la clé DKIM sera alors publié par Salesforce sur votre DNS.

8. Ajouter des enregistrements CNAME à votre DNS

Ajoutez les enregistrements CNAME et CNAME alternatif au DNS de votre domaine avant d'activer la clé DKIM sur votre domaine.

9. Attendre la publication du DNS

La publication des enregistrements DNS prend quelques jours. Les enregistrements CNAME et CNAME alternatifs apparaîtront sur la page Détails de la clé DKIM une fois le temps de propagation DNS écoulé.

10. Activer la clé DKIM

Revenir à la page de détails de la clé DKIM après avoir publié l'enregistrement. Activez la clé DKIM.

Remarque : Salesforce procède à une rotation des clés après 30 jours. Par conséquent, une fois que vous aurez activé la clé, votre clé secondaire, inactive, sera automatiquement générée.

Comment configurer DMARC pour Salesforce ?

DMARC indique aux serveurs destinataires comment traiter les courriers électroniques qui échouent aux contrôles d'authentification SPF et DKIM. Salesforce ne peut pas fournir l'authentification DMARC. Il est donc recommandé de travailler avec un fournisseur externe tel que PowerDMARC pour configurer le protocole.

Une mise en œuvre correcte du DMARC est nécessaire pour éviter tout problème de configuration. Voici les instructions pour ajouter un enregistrement DMARC pour Salesforce.

1. Sélectionnez une version DMARC

La version standard de DMARC est la version 1, qui se présente comme suit:v=DMARC1

2. Choisir une politique DMARC

Il existe trois politiques DMARC qui dictent la manière dont les serveurs destinataires doivent traiter les courriels qui échouent aux contrôles d'authentification.

• p=none

Il s'agit de la première politique à activer. Avec cette politique, les e-mails passent l'authentification DMARC même s'ils échouent aux vérifications SPF DKIM. Cette politique doit être utilisée lors de la configuration initiale de DMARC.

• quarantine

La politique met en quarantaine les courriels qui échouent à l'authentification SPF et DKIM. Elle marque les courriels comme étant du spam afin d'alerter l'utilisateur sur les courriels suspects.

• p=rejeter

Comme son nom l'indique, cette politique rejette les e-mails qui échouent à l'authentification. Il s'agit généralement du dernier objectif à atteindre après la mise en œuvre du DMARC.

3. Choisir les modes d'alignement SPF et DKIM (facultatif)

Voici comment les règles SPF fonctionnent avec DMARC :

• aspf=s

Le mode d'alignement SPF strict exige une correspondance exacte entre le domaine dans le "Return-Path" (expéditeur de l'enveloppe) et le domaine dans l'en-tête "From". 

• aspf=r

Le mode d'alignement détendu de SPF permet de passer même si le domaine "Return-Path" (expéditeur de l'enveloppe) et le domaine de l'en-tête "From" sont une correspondance organisationnelle, une correspondance organisationnelle, et non une correspondance exacte.

• adkim=s

Le domaine dans la signature DKIM (la balise d= dans l'en-tête DKIM) doit correspondre exactement au domaine dans l'adresse « De ». 

• adkim=r

En mode relaxé, le domaine de la signature DKIM peut être le même ou partager le même domaine de premier niveau que le domaine de l'adresse "From". 

4. Spécifier une étiquette de pourcentage (facultatif)

Ce paramètre spécifie le pourcentage d'e-mails requis pour se conformer à la politique DMARC. Une valeur pct=100 signifie que la politique définie sera appliquée à 100 % des e-mails. Commencez par un pourcentage plus faible lors de la configuration de DMARC. Après une surveillance régulière, vous pouvez augmenter ce pourcentage.

5. Activer les rapports DMARC (facultatif mais recommandé)

Rapport global

Le rapport global DMARC fournit des données précieuses sur les résultats de l'authentification de votre courrier électronique. Pour recevoir un rapport global, il faut configurer la balise RUA. Les rapports agrégés sont reçus quotidiennement ou hebdomadairement, sont au format XML et ne contiennent pas d'informations personnelles identifiables (PII). 

Le rapport fournit des informations telles que l'adresse IP d'envoi, le nombre d'e-mails, les identifiants SPF et les résultats, etc. L'enregistrement DMARC pointe la balise rua vers l'adresse électronique spécifiée par le propriétaire du domaine pour recevoir les rapports agrégés. Voici un exemple : 

rua=mailto:[email protected].

Rapports médico-légaux

Le rapport d'analyse DMARC contient des informations sur chaque e-mail. Il nécessite la configuration de la balise RUF dans votre enregistrement DMARC. Contrairement aux rapports DMARC agrégés, qui sont reçus toutes les 24 heures, un rapport d'analyse DMARC est généré chaque fois qu'un e-mail échoue à l'authentification DMARC. Les rapports d'analyse sont fournis en texte brut et peuvent contenir des informations sensibles. 

ruf=mailto:[email protected].

Il est également important de noter que tous les fournisseurs de boîtes aux lettres conformes à DMARC ne prennent pas en charge la génération de rapports judiciaires DMARC. 

1. Définir le temps de vie (TTL)

Lors de la configuration initiale de DMARC, vous pouvez définir le paramètre Time to Live (TTL) à 600 secondes. Cela permet d'accélérer la propagation. Par la suite, vous pouvez ajuster le TTL à 3600 secondes, afin de réduire la fréquence des requêtes DNS, ce qui réduit la charge sur le serveur DNS.

Générateurs et outils DMARC

Vous pouvez utiliser l'outil automatisé de génération d'enregistrements générateur d'enregistrements DMARC automatisé de PowerDMARC pour simplifier le processus de génération d'enregistrements DMARC. PowerDMARC propose diverses solutions DMARC gérées, ainsi que des options de surveillance granulaire et de création de rapports. L'effort combiné de ces options avancées vous aide à configurer des protocoles techniques tels que DMARC, sans tracas ni complexité supplémentaire.

En conclusion

La mise en œuvre de l'authentification des e-mails est essentielle pour renforcer la sécurité de vos e-mails Salesforce. C'est à vous de protéger vos domaines contre les menaces basées sur le courrier électronique.

La mise en place de ces protocoles d'authentification du courrier électronique peut également être facilitée par PowerDMARC. Pour plus de détails sur l'implémentation, vous pouvez nous contacter ou commencer votre essai gratuit dès maintenant !

• À propos de
• Derniers messages

Ayan Bhuiya

Chef d'équipe, expert en infrastructure et en sécurité du courrier électronique chez PowerDMARC

Avec plus de 13 ans d'expérience en cybersécurité, Ayan Bhuiya est spécialisé dans l'infrastructure, la continuité des activités, la gestion des risques et la sécurité du courrier électronique. Il est actuellement chef d'équipe chez PowerDMARC. Il est titulaire d'un diplôme d'études supérieures en réseaux et en sécurité et a fait ses preuves dans la conduite d'initiatives stratégiques de sécurité visant à atténuer les menaces et à assurer la résilience des entreprises.

Derniers messages de Ayan Bhuiya (voir tous)

• 6 façons dont une violation de données personnelles peut menacer la sécurité de votre entreprise - 1er avril 2026
• Directive NIS2 : Définition, exigences, échéances et modalités de mise en conformité – 26 mars 2026
• Essential Eight vs SMB 1001 : comparaison complète pour la cybersécurité moderne en Australie - 12 février 2026