Authentifier votre domaine dans Mailchimp, Brevo, SendGrid et outils similaires

Ce que ça veut dire

Des outils comme Mailchimp, Brevo, SendGrid, Mailgun, Amazon SES ou HubSpot envoient des emails en votre nom. Par défaut, ils :

• signent souvent l'email avec DKIM pour leur domaine, pas le vôtre ;
• utilisent leur domaine dans l'expéditeur d'enveloppe caché (Return-Path), donc le SPF est vérifié sur leur domaine.

Les deux vérifications passent, mais pour le mauvais domaine. DMARC a besoin qu'au moins l'une d'elles corresponde au domaine de votre adresse d'expéditeur (From). Cette correspondance s'appelle l'alignement. Sans elle, DMARC échoue.

Pourquoi c'est important

• Gmail et Yahoo exigent des expéditeurs en masse qu'ils passent DMARC avec leur propre domaine.
• Quand votre politique DMARC est quarantine ou reject, les newsletters non authentifiées arrivent en spam ou sont refusées.
• Votre réputation se construit sur votre propre domaine au lieu d'être partagée avec tous les clients de l'outil.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil (/), copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte que vous voulez vérifier, puis ouvrez le rapport. Regardez la ligne DKIM (quel domaine a signé ?) et la ligne SPF (quel domaine a été vérifié ?). DMARC doit être validé.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour vérifier vos enregistrements SPF et DMARC.

Comment corriger

1. Trouvez la page d'authentification

Chaque outil en a une, sous des noms comme « Authentification du domaine », « Authentification de l'expéditeur », « Domaines » ou « Domaines vérifiés ». Ajoutez-y votre domaine.

2. Ajoutez les enregistrements DKIM

L'outil vous donne un à trois enregistrements, en général des CNAME (parfois des TXT) sous _domainkey, par exemple :

s1._domainkey.yourdomain.com  CNAME  (value given by the tool)

Copiez les noms et les valeurs à l'identique. Certains fournisseurs DNS ajoutent automatiquement votre domaine au nom : dans ce cas, saisissez seulement s1._domainkey.

3. Ajoutez le return path personnalisé

Beaucoup d'outils proposent aussi un « custom return path », un « bounce domain » ou un « MAIL FROM domain ». C'est un sous-domaine du vôtre, souvent un CNAME :

bounces.yourdomain.com  CNAME  (value given by the tool)

Le SPF est alors vérifié sur votre sous-domaine, qui est aligné avec votre domaine. Vous obtenez ainsi une deuxième vérification alignée, utile si DKIM venait à casser.

4. Include SPF : seulement si on vous le demande

Certains outils vous demandent d'ajouter un include: à votre enregistrement SPF principal ; d'autres n'en ont pas besoin une fois le return path configuré. Suivez leurs instructions, et gardez une seule ligne SPF sous les 10 requêtes DNS.

5. Validez dans l'outil

Cliquez sur « Vérifier » ou « Authentifier » une fois les enregistrements visibles. Les changements DNS peuvent prendre de quelques minutes à 48 heures.

6. Utilisez votre domaine dans l'adresse d'expéditeur

Envoyez depuis une adresse du domaine authentifié, comme news@yourdomain.com, jamais depuis une adresse gratuite comme Gmail ou Yahoo.

Vérifiez que c'est corrigé

Envoyez une campagne ou un email de test depuis l'outil vers votre adresse de test Delivmail. DKIM doit afficher d=yourdomain.com et DMARC doit être validé. Recommencez pour chaque outil que vous utilisez. Avec la surveillance DMARC de Delivmail dans le tableau de bord payant, les rapports quotidiens montrent toute source d'envoi qui n'est toujours pas alignée.