Ajouter un DKIM sur OVH : activation native et clé d'un outil tiers

Réponse courte : chez OVH, il existe deux façons d'avoir un DKIM valide. Soit vous activez la signature native de votre offre e-mail OVHcloud (quelques clics, OVH génère les clés et les enregistrements), soit vous ajoutez à la main, dans la zone DNS du domaine, la clé publique fournie par le service qui envoie vos newsletters. Les deux peuvent coexister : chaque expéditeur signe avec son propre sélecteur.

Ce tutoriel fait partie d'un ensemble : la vue d'ensemble se trouve dans notre tutoriel SPF, DKIM et DMARC sur OVH, le SPF est traité dans l'enregistrement SPF chez OVH et la politique d'alignement dans configurer DMARC chez OVH. Les procédures OVH citées ici suivent la documentation officielle OVHcloud consultée en septembre 2026 ; l'interface évolue régulièrement, les libellés peuvent légèrement différer.

DKIM en deux phrases : ce que vous publiez vraiment

DKIM (DomainKeys Identified Mail) ajoute à chaque e-mail une signature cryptographique calculée avec une clé privée détenue par le serveur d'envoi. Le serveur destinataire récupère la clé publique correspondante dans votre DNS, à l'adresse sélecteur._domainkey.votredomaine.fr, et vérifie que le message n'a pas été altéré.

Le sélecteur est simplement un nom qui permet d'avoir plusieurs clés sur le même domaine. C'est lui qui distingue la clé d'OVH de celle de Brevo ou de Kit. La publication prend deux formes :

• TXT : la clé publique est écrite directement dans la zone (v=DKIM1; k=rsa; p=MIIB…).
• CNAME : la zone pointe vers un enregistrement hébergé par le fournisseur, qui peut ainsi changer de clé sans que vous touchiez au DNS. C'est le mode utilisé par OVHcloud et par une partie des outils d'emailing.

Comment activer le DKIM natif OVH (MX Plan, Zimbra, Email Pro, Exchange) ?

Réponse directe : ouvrez votre service e-mail dans l'espace client OVHcloud, repérez le badge rouge « DKIM » à côté du domaine et cliquez sur « Activer ». Si la zone DNS du domaine est gérée dans le même compte OVHcloud, les enregistrements sont créés automatiquement.

Le chemin exact dépend de l'offre, d'après la documentation OVHcloud :

Les numéros ci-dessus sont des exemples : le vôtre correspond à l'identifiant de votre service. OVH crée deux sélecteurs par domaine. Un seul signe à un instant donné ; le second sert à la rotation des clés, l'ancienne paire restant publiée le temps que les messages déjà signés soient vérifiés.

Ce que l'activation ajoute dans votre zone

Chez OVHcloud, le DKIM natif repose sur des enregistrements CNAME, pas sur des TXT. Un enregistrement type ressemble à ceci (exemple tiré de la documentation OVHcloud, valeurs à remplacer par les vôtres) :

ovhex123456-selector1._domainkey.votredomaine.fr.  CNAME  ovhex123456-selector1._domainkey.1500.ab.dkim.mail.ovh.net.
ovhex123456-selector2._domainkey.votredomaine.fr.  CNAME  ovhex123456-selector2._domainkey.1500.ab.dkim.mail.ovh.net.
      

Via l'API OVHcloud

L'activation est aussi possible par l'API OVHcloud, utile si vous gérez de nombreux domaines. La documentation cite notamment /email/domain/{domain}/dkim/enable pour MX Plan, /email/pro/{service}/domain/{domainName}/dkim pour Email Pro et /email/exchange/{organizationName}/service/{exchangeService}/domain/{domainName}/dkim pour Exchange. Les appels exacts et leurs paramètres sont visibles sur la console API OVHcloud ; testez d'abord sur un domaine secondaire.

Où trouver le DKIM chez OVH et comment lire son état ?

Réponse directe : le badge « DKIM » du service e-mail indique l'état (rouge = inactif ou en erreur, vert = actif), et la zone DNS du domaine (Web Cloud → Noms de domaine → onglet « Zone DNS ») montre les enregistrements publiés, filtrables par le texte _domainkey.

En survolant ou en cliquant sur le badge, l'espace client affiche un statut. La documentation OVHcloud liste notamment disabled, modifying, toConfigure, enabled et error pour l'état général, et, pour Email Pro et Exchange, des codes d'erreur explicites :

Diagnostic DKIM OVH : l'outil « Diagnostics » de Zimbra et la configuration recommandée

Pour Zimbra, OVH propose une page « Diagnostics » par domaine qui contrôle quatre enregistrements : MX (réception), SPF, DKIM et SRV (configuration automatique des logiciels de messagerie). Au moment d'ajouter le domaine, l'espace client propose deux modes :

• Configuration recommandée : OVH configure automatiquement la zone DNS. À choisir si aucun autre service e-mail n'utilise le domaine.
• Configuration personnalisée : vous choisissez quels enregistrements OVH écrit. À choisir si le domaine envoie déjà via Google Workspace, Microsoft 365 ou un outil d'emailing, pour ne pas écraser votre SPF ou vos MX.

La configuration recommandée ne tient pas compte des outils tiers que vous utilisez. Si vous envoyez aussi des newsletters avec Brevo ou Kit, vérifiez ensuite que le SPF n'a pas été remplacé et qu'il contient toujours tous vos expéditeurs (voir notre tutoriel SPF OVH). Si vos boîtes sont chez Microsoft ou Google, le cas est traité dans domaine OVH avec Microsoft 365 ou Google Workspace.

Configurer le DKIM d'un domaine OVH utilisé par un autre compte ou un autre domaine OVH

Réponse directe : si le domaine n'est pas géré dans le même compte OVHcloud que la plateforme e-mail (ou s'il est enregistré ailleurs), l'activation ne peut pas écrire dans la zone. Vous devez alors ajouter vous-même les deux CNAME affichés par l'espace client dans la zone DNS du domaine.

C'est le cas typique d'une plateforme Email Pro ou Exchange rattachée à domaine-a.fr à laquelle vous associez domaine-b.fr, lui-même enregistré sur un autre compte OVH (celui d'un client, d'un associé). Procédure :

1. Dans le service e-mail, ouvrez le badge DKIM de domaine-b.fr et relevez le nom et la cible des deux CNAME.
2. Connectez-vous au compte OVHcloud qui détient domaine-b.fr → Web Cloud → Noms de domaine → domaine-b.fr → « Zone DNS » → « Ajouter une entrée » → CNAME.
3. Sous-domaine : ovhemp123456-selector1._domainkey (sans le nom de domaine à la fin). Cible : la valeur complète fournie, terminée par un point.
4. Répétez pour selector2, puis revenez activer le DKIM dans le service e-mail.

Pour Zimbra, un domaine enregistré ailleurs est d'abord validé par un CNAME de vérification ; selon la documentation OVHcloud, l'opération est annulée si ce CNAME n'est pas visible au bout de 48 heures.

Comment ajouter une clé DKIM d'un outil tiers dans la zone DNS OVH ?

Réponse directe : copiez le nom (sélecteur), le type (TXT ou CNAME) et la valeur exacts affichés par votre outil d'emailing, puis créez l'entrée correspondante dans Web Cloud → Noms de domaine → votre domaine → « Zone DNS » → « Ajouter une entrée ».

C'est le cas le plus fréquent pour un créateur d'infoproduits : les boîtes personnelles sont chez OVH, mais les séquences et newsletters partent d'un outil spécialisé (voir notre guide des plateformes et outils techniques). Les noms varient selon l'outil et l'ancienneté du compte ; ne recopiez jamais une valeur trouvée dans un article, prenez celle de votre tableau de bord.

Libellés constatés en septembre 2026, susceptibles d'évoluer : fiez-vous à l'écran de votre outil.

Cas 1 : l'outil fournit un CNAME

1. « Ajouter une entrée » → champs de pointage → CNAME.
2. Sous-domaine : la partie avant votre domaine, par exemple brevo1._domainkey. OVH ajoute lui-même .votredomaine.fr.
3. Cible : la valeur fournie, par exemple b1.votredomaine-fr.dkim.brevo.com. — avec le point final pour indiquer un nom complet.
4. Validez, puis répétez pour le second sélecteur s'il y en a un.

Cas 2 : l'outil fournit un TXT

Vous avez deux options dans le formulaire OVH. L'entrée de type TXT accepte la valeur brute copiée depuis l'outil. OVH propose aussi un type d'entrée DKIM dédié, qui décompose l'enregistrement en champs (sélecteur, version DKIM1, type de clé RSA ou ed25519, clé publique en base64, mode test, etc.). Le résultat publié est le même : un TXT sur sélecteur._domainkey. Pour une clé fournie par un tiers, le type TXT est le plus simple car il évite de redécouper la valeur.

Sous-domaine : ml._domainkey
Type         : TXT
TTL          : par défaut
Valeur       : v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...IDAQAB
      

Où lire le sélecteur DKIM (selector) d'un e-mail ?

Réponse directe : dans l'en-tête DKIM-Signature d'un message reçu, la balise s= donne le sélecteur et d= le domaine signataire. La clé se trouve alors à s._domainkey.d.

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=votredomaine.fr;
        s=ovhmo1234567-selector1; h=from:to:subject:date; bh=...; b=...
      

Ici, le sélecteur est ovhmo1234567-selector1 et la clé se consulte sur ovhmo1234567-selector1._domainkey.votredomaine.fr. Côté OVH, le sélecteur s'affiche aussi dans la fenêtre du badge DKIM. Côté outil tiers, c'est la partie avant ._domainkey dans le nom d'hôte qu'il vous demande de créer.

Point d'attention : si d= contient le domaine de l'outil (par exemple un domaine de Brevo ou de Kit) et non le vôtre, le message est signé mais non aligné. Il passera DKIM mais pas DMARC sur ce critère. C'est la raison pour laquelle il faut authentifier votre propre domaine dans l'outil.

Clé DKIM de plus de 255 caractères : que faire sur OVH ?

Réponse directe : une chaîne de caractères DNS est limitée à 255 octets, mais un enregistrement TXT peut en contenir plusieurs, que le destinataire concatène. Une clé RSA 2048 bits dépasse cette limite ; collez la valeur d'un seul bloc dans l'entrée TXT, puis vérifiez le résultat avec dig.

Si la valeur publiée apparaît en plusieurs segments entre guillemets, c'est normal : "v=DKIM1; k=rsa; p=MIIBIj…" "…IDAQAB" est lu comme une seule chaîne. Ce qui pose problème, c'est une valeur tronquée, un espace ou un retour à la ligne inséré dans la clé, ou des guillemets ajoutés à la main au milieu. Si le formulaire refuse la valeur, deux solutions : demander à l'outil un enregistrement en CNAME (qui contourne la question, la clé étant hébergée chez lui), ou une clé 1024 bits si l'outil le propose, sachant que 2048 bits reste préférable.

Vérifier le DKIM : dig et en-têtes Gmail

Avec dig

# DKIM natif OVH (CNAME puis clé)
dig CNAME ovhmo1234567-selector1._domainkey.votredomaine.fr +short
dig TXT   ovhmo1234567-selector1._domainkey.votredomaine.fr +short

# Clé d'un outil tiers
dig TXT brevo1._domainkey.votredomaine.fr +short
      

Un CNAME doit renvoyer la cible fournie (sans votre domaine collé à la fin), et la requête TXT doit afficher une valeur commençant par v=DKIM1 ou contenant p=. Sous Windows, nslookup -type=TXT nom fait le même travail.

Avec Gmail

1. Envoyez un message vers une adresse Gmail.
2. Ouvrez-le → menu « ⋮ » → « Afficher l'original ».
3. Le résumé en haut indique « DKIM : PASS avec le domaine votredomaine.fr ». Dans les en-têtes, cherchez dkim=pass header.i=@votredomaine.fr header.s=….

Le domaine affiché après « PASS avec le domaine » doit être le vôtre. S'il s'agit d'un domaine d'OVH ou de l'outil, la signature n'est pas alignée.

Erreurs fréquentes sur le DKIM OVH

• Domaine en double dans le nom : saisir brevo1._domainkey.votredomaine.fr dans le champ sous-domaine produit brevo1._domainkey.votredomaine.fr.votredomaine.fr. Ne saisissez que la partie avant votre domaine.
• Cible de CNAME sans point final : selon la saisie, la cible peut être interprétée comme relative. Vérifiez avec dig qu'elle ne se termine pas par votre domaine.
• CNAME et TXT sur le même nom : un nom qui porte un CNAME ne peut porter aucun autre enregistrement. Supprimez l'ancien TXT si l'outil est passé au CNAME.
• Badge DKIM toujours rouge : les CNAME manquent ou pointent mal (codes 503/504), ou la zone DNS n'est pas celle réellement utilisée (serveurs DNS externes).
• dkim=fail (body hash did not verify) : le message a été modifié après signature, typiquement par une redirection, une liste de diffusion ou un antivirus qui ajoute un pied de page.
• DKIM OK mais DMARC en échec : signature faite avec le domaine de l'outil (d= différent du From). Authentifiez votre domaine dans l'outil. Détail dans notre tutoriel DMARC OVH.

Et si la zone DNS de votre domaine n'est pas chez OVH ?

Réponse directe : les enregistrements se créent là où se trouvent les serveurs DNS actifs du domaine, pas forcément chez le registrar. Vérifiez-les avec dig NS votredomaine.fr +short.

Si la commande renvoie des serveurs dns…ovh.net ou ns…ovh.net, c'est la zone OVH qui compte. Si elle renvoie Cloudflare, Infomaniak, Gandi ou un autre hébergeur, toute modification faite dans la zone OVH est ignorée : ajoutez les CNAME OVH (ou la clé de votre outil) chez ce fournisseur. L'activation DKIM côté service e-mail OVH ne pourra alors pas se faire automatiquement ; elle aboutit une fois les deux CNAME visibles publiquement.

Questions fréquentes