Conseils · Au quotidien
Les courriels de la mairie arrivent en spam ? SPF, DKIM et DMARC expliqués au secrétariat
La convocation au conseil n’est jamais arrivée. Le parent d’élève n’a pas vu la réponse de la mairie. Le fournisseur a reçu une fausse facture « de la commune ». Derrière ces trois problèmes, souvent la même cause : trois réglages techniques absents du nom de domaine. Voici ce qu’ils sont, sans jargon.
Publié le 30 septembre 2026 · 6 min de lecture · par Thomas, La Fabrique des Communes
Trois réglages, trois questions
Quand un courriel arrive, la messagerie du destinataire se pose trois questions. Les réponses sont inscrites dans le nom de domaine de la commune, sous forme de courtes lignes de texte que seul le prestataire ou l’hébergeur peut ajouter.
- SPF : ce serveur a-t-il le droit d’envoyer des courriels pour votre-commune.fr ? C’est la liste des expéditeurs autorisés.
- DKIM : le message a-t-il été modifié en route ? C’est une signature électronique ajoutée à chaque envoi.
- DMARC : que faire d’un message qui échoue aux deux premiers contrôles ? C’est la consigne que la commune donne au reste d’internet : le laisser passer, le mettre en indésirables, ou le rejeter.
Sans ces réglages, la messagerie du destinataire ne peut pas distinguer un vrai courriel de la mairie d’un faux. Dans le doute, elle le range en indésirables. Et un escroc peut écrire « au nom de » la mairie sans que rien ne l’en empêche.
Ce qui a changé en 2024
Depuis le 1er février 2024, Google applique des exigences à tous les expéditeurs qui écrivent vers Gmail : au minimum SPF ou DKIM, une connexion chiffrée, un taux de signalement en spam faible. Au-delà de 5 000 messages par jour vers Gmail, SPF, DKIM et DMARC deviennent tous obligatoires. Yahoo a adopté des règles similaires. Ce ne sont pas des lois, mais des conditions d’accès : une mairie qui ne les respecte pas voit simplement ses messages moins bien distribués.
Est-ce une obligation légale ?
Pas directement : aucun texte n’impose SPF, DKIM ou DMARC à une commune. Mais le RGPD oblige toute collectivité à sécuriser les données qu’elle traite, et les courriels de la mairie en contiennent beaucoup. L’ANSSI recommande de configurer DMARC, en commençant par un mode d’observation, puis en le durcissant. Et le guide de cybersécurité publié par l’ANSSI avec l’AMF pour les collectivités rappelle deux règles simples : séparer strictement messageries personnelles et professionnelles, et supprimer les comptes des élus et agents qui partent.
Vérifier en deux minutes, sans outil
- Depuis la messagerie de la mairie, envoyez un courriel à une adresse Gmail.
- Dans Gmail, ouvrez le message, cliquez sur les trois points, puis « Afficher l’original ».
- En haut, trois lignes indiquent SPF, DKIM et DMARC. Vous voulez lire « PASS » sur les trois.
Si une ligne manque ou indique autre chose, transmettez la capture à votre prestataire : l’ajout prend en général moins d’une heure.
Et les adresses elles-mêmes
Ces réglages ne servent que si la mairie écrit depuis son propre nom de domaine. Une adresse en orange.fr ou gmail.com échappe à tout contrôle de la commune. Nous détaillons ce point, et la façon de changer d’adresse sans perdre personne, dans notre article sur le nom de domaine et les adresses de la mairie.
Questions fréquentes
Pourquoi les courriels de la mairie arrivent-ils en spam ?
Le plus souvent parce que le nom de domaine de la commune ne publie pas les réglages SPF, DKIM et DMARC, qui permettent aux messageries de vérifier qu’un courriel vient bien de la mairie. Depuis février 2024, Gmail exige au minimum SPF ou DKIM pour tous les expéditeurs, et les trois au-delà de 5 000 messages par jour. Écrire depuis une adresse personnelle (gmail.com, orange.fr) aggrave le problème.
SPF, DKIM et DMARC sont-ils obligatoires pour une commune ?
Aucun texte ne les impose directement. Mais le RGPD (article 32) oblige la collectivité à sécuriser les données qu’elle traite, l’ANSSI recommande de configurer DMARC, et les grands fournisseurs de messagerie en font une condition de bonne distribution. En pratique, ce sont des réglages standards à demander à son prestataire.
Comment vérifier que SPF, DKIM et DMARC sont bien configurés ?
Envoyez un courriel depuis la messagerie de la mairie vers une adresse Gmail, ouvrez-le, puis choisissez « Afficher l’original » dans le menu à trois points. Les lignes SPF, DKIM et DMARC doivent indiquer « PASS ». Sinon, transmettez la capture à votre prestataire.
