Cette configuration se fait dans la zone DNS de votre domaine, pas dans votre logiciel de messagerie. C'est ce qui déroute au départ : on cherche un réglage dans son courrier alors qu'il faut aller déclarer trois lignes de texte au niveau du nom de domaine.
Avant de commencer, deux minutes de préparation qui évitent de tout refaire : listez tout ce qui envoie des e-mails en votre nom. Votre messagerie professionnelle, votre site web, votre logiciel de facturation, votre outil d'infolettre, votre logiciel de prise de rendez-vous. Un service oublié à cette étape verra ses messages rejetés plus tard.
Si vous n'êtes pas au clair sur le rôle des trois enregistrements, l'explication détaillée est ici.
Où se trouve la zone DNS chez OVH
Depuis votre espace client OVH : rubrique Noms de domaine, puis votre domaine, puis l'onglet Zone DNS. Vous y voyez la liste des entrées existantes, avec un bouton pour en ajouter une.
Les libellés de l'interface évoluent d'une refonte à l'autre, mais le chemin reste toujours le même : le domaine d'abord, sa zone DNS ensuite. Si votre domaine est enregistré ailleurs qu'OVH tout en étant hébergé chez eux, c'est chez le registraire qu'il faut aller la zone DNS suit le domaine, pas l'hébergement.
Étape 1 : l'enregistrement SPF
Commencez par chercher s'il en existe déjà un. Dans la liste, repérez une entrée de type TXT dont la valeur commence par v=spf1. C'est le piège numéro un : il ne peut y en avoir qu'un seul. S'il existe, vous devez le modifier, jamais en ajouter un second.
Créez ou modifiez une entrée :
- Type : TXT
- Sous-domaine : laissez vide (c'est le domaine racine)
- Valeur : la liste de vos expéditeurs autorisés
Avec la messagerie OVH seule :
v=spf1 include:mx.ovh.com -all
Avec la messagerie OVH et un outil d'envoi tiers, on ajoute son inclusion chaque service documente la sienne :
v=spf1 include:mx.ovh.com include:le-service.example -all
Le -all final signifie « tout expéditeur non listé est illégitime ». Si vous n'êtes pas certain d'avoir listé tous vos services, utilisez d'abord ~all, plus tolérant, puis passez à -all quand la liste est confirmée par vos rapports.
Étape 2 : DKIM
DKIM ne s'invente pas : la clé est générée par le service qui envoie vos messages. Il y a donc deux cas.
Pour la messagerie OVH, l'activation se fait depuis la gestion de votre offre e-mail : OVH génère la clé et crée l'entrée dans votre zone DNS. Vous n'avez rien à recopier à la main.
Pour un outil d'envoi tiers infolettre, facturation, service transactionnel c'est lui qui vous fournit une ou plusieurs entrées à créer, généralement de type CNAME avec un sous-domaine du style xxx._domainkey. Recopiez-les exactement telles qu'il les donne, caractère pour caractère.
C'est l'étape qui rend possible l'alignement : sans signature DKIM à votre nom, un outil tiers peut réussir SPF pour son propre domaine tout en faisant échouer DMARC pour le vôtre.
Étape 3 : DMARC
Créez une nouvelle entrée TXT :
- Type : TXT
- Sous-domaine :
_dmarc - Valeur :
v=DMARC1; p=none; rua=mailto:rapports@votredomaine.fr; fo=1
Trois éléments à comprendre :
p=none: mode observation. Rien n'est bloqué, mais vous recevez les rapports. Commencez toujours par là.rua=: l'adresse qui reçoit les rapports quotidiens. Utilisez une adresse que vous consultez réellement, ou une boîte dédiée.fo=1: demande un rapport détaillé dès qu'une vérification échoue, ce qui aide beaucoup au diagnostic.
Le mode observation est important : il vous laisse découvrir, sans rien casser, quels services envoient en votre nom et lesquels échouent. Le passage à une politique restrictive vient ensuite, et mérite son propre article : p=none, quarantine ou reject.
Étape 4 : vérifier
Attendez la propagation, puis testez votre domaine avec notre outil SPF et DMARC. Il affiche les enregistrements réellement publiés et signale ce qui est incomplet.
Vérifiez ensuite dans la pratique : envoyez un message vers une adresse Gmail depuis chacun de vos outils, et affichez les détails du message reçu. Gmail indique explicitement les résultats de l'authentification. Chaque outil doit passer.
Les trois erreurs qui reviennent le plus
Deux enregistrements SPF. Le plus fréquent, et le plus sournois : chacun paraît correct, mais leur coexistence invalide l'ensemble. Un seul enregistrement, qui liste tous les services.
Plus de dix consultations DNS. Chaque include: compte. En empilant les outils, on dépasse la limite et tout échoue, sans message d'erreur visible. Il faut alors consolider.
Passer directement à p=reject. C'est tentant, et c'est le meilleur moyen de bloquer vos propres factures. Un outil légitime que vous avez oublié de déclarer verra ses messages refusés et vous ne l'apprendrez que par un client mécontent. Observation d'abord, restriction ensuite.
Et chez un autre hébergeur ?
La démarche est identique : trouver la zone DNS du domaine, créer une entrée TXT à la racine pour SPF, les entrées fournies par vos services pour DKIM, et une entrée TXT sur _dmarc pour DMARC. Seuls le chemin dans l'interface et la valeur d'inclusion SPF changent.
Si le sujet vous paraît risqué à manipuler vous-même c'est légitime, une erreur de zone DNS peut interrompre votre messagerie c'est exactement ce que couvre notre travail sur la sécurité e-mail et la maintenance.
Une zone DNS se modifie en trente secondes et se répare en deux jours. Vérifiez après chaque étape, pas à la fin des trois.