Plusieurs services d'envoi sur un même domaine : combiner correctement SPF et DKIM

Ce que ça veut dire

La plupart des entreprises envoient des emails depuis plusieurs endroits : un fournisseur de messagerie (Google Workspace, Microsoft 365), un outil de newsletter, une boutique en ligne, un CRM, un outil de facturation ou le formulaire de contact d'un site. Chacun envoie des emails « From » votre domaine, donc chacun doit être autorisé et authentifié.

Les règles sont simples mais souvent enfreintes :

• SPF : votre domaine ne peut avoir qu'un seul enregistrement SPF. Tous les expéditeurs vont dans cette ligne unique.
• DKIM : chaque service a sa propre clé, publiée sous son propre nom (le sélecteur). Les clés ne se remplacent jamais entre elles.
• DMARC : un seul enregistrement pour tout le domaine, qui couvre tous les services.

Pourquoi c'est important

• Quand on ajoute un second enregistrement SPF pour un nouvel outil, les deux deviennent invalides et le SPF échoue pour tous les services.
• Un service qui n'est pas authentifié avec votre domaine échoue au DMARC, et ses emails partent en spam ou sont refusés dès que votre politique est stricte.
• Les expéditeurs oubliés sont la principale raison pour laquelle on n'ose jamais passer le DMARC en reject.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil (/), copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte ou l'outil que vous voulez vérifier, puis ouvrez le rapport.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements SPF, DMARC et MX sans rien envoyer.

Refaites le test une fois pour chaque service qui envoie des emails pour vous.

Comment corriger

1. Faites l'inventaire. Notez chaque outil qui envoie des emails avec votre domaine : boîte mail, newsletters, boutique, factures, support client, site web. Consultez vos rapports DMARC pour retrouver ceux que vous avez oubliés.
2. Regroupez le SPF en une seule ligne. Placez chaque include: ou ip4: après un unique v=spf1 et terminez par un seul all :

   v=spf1 include:_spf.google.com include:spf.newsletter-example.com ip4:203.0.113.10 ~all

3. Surveillez la limite de 10 requêtes. Chaque include: compte pour au moins une requête DNS, et le SPF en autorise 10 au total. Retirez les services que vous n'utilisez plus. Certains outils n'ont même plus besoin d'include une fois leur return path personnalisé configuré.
4. Ajoutez un enregistrement DKIM par service. Chaque outil vous donne un nom de sélecteur, par exemple :

   google._domainkey.yourdomain.com     TXT    (Google key)
   s1._domainkey.yourdomain.com         CNAME  (newsletter tool)
   shop._domainkey.yourdomain.com       CNAME  (online shop)

   Si deux outils demandent le même nom de sélecteur, contactez l'un d'eux : un nom ne peut contenir qu'une seule clé.
5. Validez dans chaque outil. Cliquez sur « Vérifier » ou « Authentifier » dans chaque service une fois les enregistrements publiés.
6. Gardez un seul enregistrement DMARC. Commencez avec p=none et une adresse de rapports, puis durcissez-le quand tous les services passent.

Astuce : déplacez les gros envois sur un sous-domaine

Si vous avez beaucoup d'outils, envoyez les newsletters depuis news.yourdomain.com. Le sous-domaine a son propre enregistrement SPF, ce qui garde votre SPF principal court.

Vérifiez que c'est corrigé

Lancez le scanner de domaine : vous devez voir exactement un enregistrement SPF valide et un enregistrement DMARC. Envoyez ensuite un email de test depuis chaque service vers une nouvelle adresse de test Delivmail. Chaque rapport doit montrer le SPF ou le DKIM qui passe pour votre domaine, et le DMARC qui passe. Avec la surveillance DMARC de Delivmail dans le tableau de bord payant, tout expéditeur oublié apparaîtra dans les rapports quotidiens.