Mettre en place DMARC sur OVH : enregistrement, politique et rapports

Réponse courte : DMARC se configure chez OVH par un seul enregistrement DNS sur _dmarc.votredomaine.fr. Il ne fonctionne que si SPF ou DKIM passe et correspond au domaine visible dans le champ « De » (l'alignement). Commencez donc par vérifier ces deux mécanismes avant de publier une politique restrictive.

Cette page complète notre tutoriel pilier SPF, DKIM et DMARC sur OVH. Si ce n'est pas encore fait, configurez d'abord le SPF chez OVH et le DKIM chez OVH. Les procédures citées suivent la documentation OVHcloud consultée en septembre 2026 ; les libellés de l'interface peuvent évoluer.

À quoi sert DMARC, et que publier en premier ?

DMARC (Domain-based Message Authentication, Reporting and Conformance) remplit deux rôles. Il indique aux serveurs destinataires quoi faire d'un message qui se réclame de votre domaine sans être authentifié (le laisser passer, le mettre en indésirables, le rejeter), et il leur demande de vous envoyer des rapports sur tout ce qui circule sous votre nom.

Un message est conforme DMARC si au moins un des deux contrôles réussit de façon alignée :

• SPF aligné : SPF passe et le domaine de l'enveloppe (Return-Path) correspond au domaine du From.
• DKIM aligné : une signature DKIM est valide et son domaine d= correspond au domaine du From.

Pour un premier enregistrement, publiez une politique d'observation :

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr
      

Comment mettre en place DMARC sur OVH, pas à pas ?

Réponse directe : Web Cloud → Noms de domaine → votre domaine → onglet « Zone DNS » → « Ajouter une entrée », puis choisissez le type DMARC (formulaire guidé) ou TXT (saisie libre) sur le sous-domaine _dmarc.

Option A : le type d'entrée « DMARC » d'OVH

OVH propose un assistant qui construit l'enregistrement à partir de champs. D'après la documentation OVHcloud, il comprend :

1. Sous-domaine : _dmarc (pré-rempli, obligatoire au début du nom).
2. Version : DMARC1.
3. Règle pour le domaine (p=) : none, quarantine ou reject.
4. Pourcentage des messages filtrés (pct=) : de 0 à 100.
5. URI de création de rapports globaux (rua=) : mailto:dmarc@votredomaine.fr.
6. Règle pour les sous-domaines (sp=) .
7. Mode d'alignement pour SPF (aspf=) : r (souple) ou s (strict).

Limite importante : ce formulaire ne gère pas toutes les balises. adkim (alignement DKIM), ruf (rapports d'échec), fo, rf et ri n'y figurent pas. Si vous en avez besoin, passez par l'option B.

Option B : une entrée TXT

1. « Ajouter une entrée » → TXT.
2. Sous-domaine : _dmarc (sans votre nom de domaine à la fin).
3. TTL : valeur par défaut.
4. Valeur : l'enregistrement complet, en commençant obligatoirement par v=DMARC1.

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr; adkim=r; aspf=r; fo=1
      

Vérifier la publication

dig TXT _dmarc.votredomaine.fr +short
      

La commande doit renvoyer une seule ligne commençant par "v=DMARC1. Sous Windows : nslookup -type=TXT _dmarc.votredomaine.fr. Dans Gmail, « Afficher l'original » sur un message reçu doit afficher « DMARC : PASS ».

Les balises DMARC expliquées (p, rua, ruf, pct, adkim, aspf, sp)

Pour un créateur qui envoie ses newsletters via un outil tiers, gardez l'alignement souple (r, valeur par défaut). Beaucoup d'outils utilisent un sous-domaine de retour (par exemple bounce.votredomaine.fr) : en mode strict, le SPF ne serait plus aligné.

Progression recommandée : none → quarantine → reject

Réponse directe : restez en p=none tant que les rapports montrent des sources légitimes non alignées, puis passez à quarantine, et enfin à reject quand plus aucun envoi légitime n'échoue.

La durée de chaque étape dépend de votre volume et du nombre d'outils qui envoient en votre nom : une plateforme de formation, un outil de facturation ou un tunnel de vente envoient souvent des e-mails transactionnels qu'on oublie (reçus, accès aux contenus). Ce sont eux qui disparaissent silencieusement en reject si leur domaine n'est pas authentifié. Recensez-les avant de durcir, par exemple à partir de votre automatisation de livraison ou de votre paiement Stripe.

Historiquement, pct servait à passer progressivement en quarantaine (p=quarantine; pct=25). La nouvelle spécification le remplace par la balise t (voir plus bas) ; mieux vaut ne pas bâtir sa progression dessus.

Comment lire les rapports DMARC agrégés ?

Les fournisseurs qui les envoient (Google, Yahoo, Microsoft et d'autres) adressent à l'adresse rua, en général une fois par jour, un fichier XML compressé (.zip ou .gz). Chaque ligne indique une adresse IP d'envoi, le nombre de messages, le résultat SPF et DKIM, l'alignement et le traitement appliqué.

• Créez une adresse dédiée (dmarc@), le volume peut être important.
• Ne lisez pas le XML à la main : un service d'analyse DMARC (gratuit ou payant selon le volume) agrège les rapports par source et signale les échecs.
• Identifiez chaque IP : les serveurs OVH, ceux de votre outil d'emailing, ceux de Google ou Microsoft si vos boîtes y sont hébergées. Une source légitime en échec se corrige (SPF, DKIM) ; une source inconnue est probablement de l'usurpation.

Si l'adresse rua est sur un autre domaine que celui protégé, ce domaine doit autoriser la réception en publiant un TXT votredomaine.fr._report._dmarc.autredomaine.com contenant v=DMARC1. Les services d'analyse DMARC le font pour vous.

Absence de DMARC pour un domaine OVH : quelles conséquences ?

Réponse directe : sans DMARC, vos e-mails partent toujours, mais les gros envois vers Gmail, Yahoo et Outlook sont refusés, et n'importe qui peut usurper votre domaine sans que vous le sachiez. Les outils de diagnostic signalent alors « absence de DMARC ».

• Gmail et Yahoo (depuis février 2024) : les expéditeurs de plus de 5 000 messages par jour vers leurs utilisateurs doivent avoir SPF, DKIM et un enregistrement DMARC (p=none accepté), avec un From aligné sur SPF ou DKIM, plus un désabonnement en un clic. Google a annoncé un durcissement à partir de novembre 2025, avec des rejets temporaires puis définitifs des messages non conformes.
• Outlook.com, Hotmail, Live (depuis le 5 mai 2025) : Microsoft applique des exigences comparables aux expéditeurs de plus de 5 000 messages par jour. Les messages non conformes peuvent être rejetés avec l'erreur 550 5.7.515.
• En dessous de ces volumes : Gmail exige au minimum SPF ou DKIM pour tous les expéditeurs. DMARC n'est pas obligatoire, mais il reste la seule façon de voir qui envoie en votre nom.

Pour un créateur d'infoproduits, les 5 000 messages par jour sont vite atteints lors d'un lancement (voir lancer une formation en 30 jours). Publier un DMARC en p=none ne coûte rien et ne bloque rien : il n'y a pas de raison de s'en passer.

Redirections OVH et DMARC : quelle politique choisir ?

Réponse directe : une redirection casse le SPF (le serveur OVH qui réexpédie n'est pas autorisé par le domaine d'origine) mais conserve en général la signature DKIM. Tant que les messages sont signés en DKIM aligné, ils passent DMARC après redirection.

Deux situations recouvrent la question « DMARC et redirection OVH » :

1. Vous redirigez des e-mails reçus vers une autre boîte

Exemple : contact@votredomaine.fr redirigé par OVH vers une adresse Gmail. Les messages de vos correspondants arrivent chez Gmail depuis un serveur OVH : SPF échoue pour eux, DKIM passe si le contenu n'a pas été modifié. Si l'expéditeur d'origine ne signe pas en DKIM et publie p=reject, le message peut être refusé. Le protocole ARC (Authenticated Received Chain) permet à un intermédiaire d'attester des résultats d'authentification initiaux, et Gmail en tient compte ; à la date de rédaction, nous n'avons pas trouvé de documentation OVHcloud indiquant que ses redirections ajoutent des en-têtes ARC. Si vous perdez des messages, préférez une vraie boîte OVH relevée par votre client de messagerie à une redirection.

2. Votre domaine ne sert qu'à des redirections et n'envoie rien

Un domaine qui ne fait que recevoir et rediriger n'envoie aucun message en son nom. Vous pouvez donc le verrouiller : SPF v=spf1 -all et DMARC v=DMARC1; p=reject; rua=mailto:…. Même logique pour les domaines secondaires achetés pour protéger votre marque. Détail du SPF dans notre tutoriel SPF OVH.

DKIM et DMARC chez OVH : publier dans quel ordre ?

Activez d'abord DKIM sur votre offre e-mail OVH et sur vos outils d'envoi, vérifiez le dkim=pass avec votre domaine, puis publiez DMARC en p=none. L'ordre inverse n'est pas dangereux en none, mais les rapports seront remplis d'échecs peu lisibles. Si vos boîtes sont chez Microsoft 365 ou Google Workspace avec un domaine OVH, activez la signature DKIM chez eux (voir domaine OVH avec Microsoft 365 ou Google Workspace). Le pas-à-pas DKIM côté OVH est dans notre tutoriel DKIM OVH.

OVH est-il compatible DMARCbis ?

Réponse directe : DMARCbis a été publié par l'IETF en mai 2026 sous la forme de trois RFC (9989 pour le protocole, 9990 pour les rapports agrégés, 9991 pour les rapports d'échec), au statut de Proposed Standard, qui remplacent la RFC 7489. Un enregistrement DMARC existant reste valide : la version est toujours v=DMARC1.

Ce qui change concrètement :

• Balises retirées : pct, rf et ri. Les destinataires qui appliquent DMARCbis peuvent les ignorer.
• Nouvelles balises : np (politique pour les sous-domaines inexistants), psd (réservée aux domaines de suffixe public, sans intérêt pour vous) et t (mode test : t=y demande de ne pas appliquer strictement la politique, en remplacement de pct).
• Domaine organisationnel : la recherche passe par un parcours de l'arborescence DNS (DNS Tree Walk) au lieu de la seule Public Suffix List. Sans effet visible pour un domaine classique en .fr ou .com.

Côté OVH, rien n'empêche de publier dès maintenant les nouvelles balises en TXT : la zone DNS stocke la chaîne telle quelle. En revanche, l'assistant « DMARC » de l'espace client propose encore pct et pas np ni t d'après la documentation consultée. Nous n'avons pas trouvé d'annonce OVHcloud sur une mise à jour. Un enregistrement compatible avec les deux versions :

v=DMARC1; p=reject; sp=reject; np=reject; rua=mailto:dmarc@votredomaine.fr
      

Les anciens destinataires ignorent np, les nouveaux l'appliquent ; aucune balise retirée n'y figure.

Erreurs fréquentes sur DMARC chez OVH

• Sous-domaine _dmarc.votredomaine.fr saisi en entier : OVH ajoute le domaine, ce qui donne _dmarc.votredomaine.fr.votredomaine.fr. Saisissez _dmarc seul.
• Guillemets ou espaces parasites : collez la valeur sans guillemets ; séparez les balises par des points-virgules.
• DMARC en échec alors que SPF et DKIM passent : ils passent pour le domaine de l'outil, pas pour le vôtre. Authentifiez votre domaine dans l'outil d'emailing.
• Passage direct à p=reject : les reçus de votre plateforme de vente ou vos factures automatiques peuvent disparaître. Passez par none.
• Zone DNS qui n'est pas chez OVH : vérifiez dig NS votredomaine.fr +short ; si les serveurs ne sont pas OVH, publiez DMARC chez l'hébergeur DNS réel.

Questions fréquentes