Configurer SPF, DKIM et DMARC pour Google Workspace

Ce que ça veut dire

Quand vous utilisez Google Workspace, c'est Gmail qui envoie vos emails, mais votre domaine doit prouver qu'il fait confiance à Google. Trois enregistrements DNS s'en chargent :

• SPF indique que les serveurs de Google peuvent envoyer pour votre domaine.
• DKIM ajoute une signature numérique à chaque email, créée avec une clé que seul Google détient pour votre domaine.
• DMARC indique aux destinataires quoi faire quand un email échoue aux deux vérifications, et vous envoie des rapports.

DKIM n'est pas activé par défaut sur beaucoup de domaines Workspace : tant que vous ne l'activez pas, Google signe avec un domaine Google générique, qui ne compte pas pour votre DMARC.

Pourquoi c'est important

Gmail, Yahoo et Outlook attendent des expéditeurs un SPF et un DKIM, et des expéditeurs en masse un DMARC en plus. Chaque pièce manquante, c'est plus d'emails en spam, et la vie plus facile pour ceux qui usurpent votre adresse.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil (/), copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte que vous voulez vérifier, puis ouvrez le rapport. Les lignes SPF, DKIM et DMARC doivent toutes être validées, et DKIM doit afficher votre propre domaine (d=yourdomain.com).
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements SPF et DMARC sans rien envoyer.

Comment corriger

1. SPF

1. Connectez-vous chez votre fournisseur DNS (là où vous avez acheté le domaine).
2. Cherchez un enregistrement TXT existant qui commence par v=spf1. Vous ne devez en avoir qu'un seul.
3. S'il n'y en a aucun, ajoutez un enregistrement TXT sur @ :

v=spf1 include:_spf.google.com ~all

Si vous en avez déjà un pour d'autres outils, ajoutez-y include:_spf.google.com au lieu de créer une deuxième ligne.

2. DKIM

1. Ouvrez la console d'administration Google et allez dans Applications, Google Workspace, Gmail, Authentifier les e-mails.
2. Sélectionnez votre domaine et cliquez sur Générer un nouvel enregistrement. Choisissez une clé de 2048 bits si votre fournisseur DNS accepte les valeurs longues.
3. Copiez l'enregistrement : le nom est google._domainkey et la valeur commence par v=DKIM1; k=rsa; p=.
4. Ajoutez-le comme enregistrement TXT chez votre fournisseur DNS.
5. Attendez qu'il soit visible (de quelques minutes à 48 heures), puis revenez et cliquez sur Démarrer l'authentification.

3. DMARC

Ajoutez un enregistrement TXT nommé _dmarc. Commencez en mode surveillance :

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

L'adresse rua reçoit des rapports quotidiens de Gmail, Yahoo, Microsoft et d'autres. Une fois que toutes vos sources légitimes passent, passez à p=quarantine, puis à p=reject.

4. Les autres outils qui envoient pour vous

Google Workspace ne couvre que les emails envoyés depuis Gmail. Votre outil de newsletter, votre boutique, votre CRM ou le formulaire de votre site ont chacun besoin de leur propre include SPF et de leurs enregistrements DKIM, sinon DMARC échouera pour eux.

Vérifiez que c'est corrigé

• Relancez le scanner de domaine : un seul enregistrement SPF, un seul enregistrement DMARC.
• Envoyez un nouvel email de test depuis votre compte Gmail : SPF, DKIM et DMARC doivent tous être validés, avec un DKIM signé par votre domaine.
• Avec la surveillance DMARC de Delivmail dans le tableau de bord payant, vous pouvez lire les rapports quotidiens et repérer toute source qui échoue encore avant de durcir votre politique.

Aide officielle : SPF, DKIM et DMARC pour Google Workspace.