Pour Microsoft 365 : publiez SPF v=spf1 include:spf.protection.outlook.com -all, activez DKIM dans le portail Defender (sélecteurs selector1 et selector2, publiés en CNAME), puis ajoutez un enregistrement DMARC à _dmarc en commençant à p=none jusqu’à p=reject.
L’include de Microsoft est spf.protection.outlook.com. Un enregistrement propre est v=spf1 include:spf.protection.outlook.com -all. Ajoutez d’autres expéditeurs au même enregistrement si nécessaire.
Activez DKIM dans le portail Microsoft Defender (E-mail et collaboration → Stratégies → Paramètres d’authentification des e-mails → DKIM). Microsoft utilise deux sélecteurs rotatifs, selector1 et selector2, publiés en enregistrements CNAME pointant vers …_domainkey.<tenant>.onmicrosoft.com.
Publiez v=DMARC1; p=none; rua=mailto:[email protected] à _dmarc, surveillez, puis appliquez.
Il s'agit d'un CNAME, alors suivez-le :
$ dig CNAME selector1._domainkey.yourdomain.com +shortVérifiez votre enregistrement DMARC maintenant
Ouvrir le vérificateur DMARC gratuit →Pour que Microsoft puisse faire tourner les clés sous-jacentes sans que vous modifiiez le DNS. Vous publiez deux CNAME (selector1/selector2) pointant vers des enregistrements gérés par Microsoft.
La recommandation de Microsoft utilise -all (hardfail) une fois certain que tous les expéditeurs sont listés ; commencez par ~all si vous consolidez encore.
