Paramétrer un domaine OVH pour envoyer et recevoir ses e-mails sur Microsoft 365 ou Google Workspace

Cette page complète notre tutoriel pilier SPF, DKIM et DMARC sur OVH. Si vous cherchez seulement la bonne ligne SPF, allez directement à l'enregistrement SPF chez OVH.

Avant de commencer : trois vérifications dans l'espace client OVH

1. La zone DNS est-elle chez OVH ? Dans Web Cloud → Noms de domaine → votre domaine → onglet Serveurs DNS. Si vous voyez des serveurs du type dnsXX.ovh.net / nsXX.ovh.net, vous modifierez l'onglet Zone DNS. Si ce sont ceux de Wix, Cloudflare ou d'un autre prestataire, c'est chez lui qu'il faut créer les enregistrements (voir l'encart Wix plus bas).
2. Les boîtes existent-elles déjà chez le nouveau fournisseur ? Microsoft insiste : créez les utilisateurs et leurs boîtes avant de changer les MX, sinon les e-mails entrants arrivent sur des adresses inexistantes.
3. Qu'y a-t-il déjà dans la zone ? Relevez les MX (souvent mx1.mail.ovh.net, mx2…, mx3…), le SPF (include:mx.ovh.com) et d'éventuels enregistrements liés aux e-mails OVH. Une capture d'écran de la zone avant modification vous fera gagner du temps en cas de retour arrière.

Comment paramétrer son nom de domaine OVH pour envoyer et recevoir des e-mails sur Office 365 (Microsoft 365) ?

Réponse courte : dans la zone DNS OVH, ajoutez le TXT MS=ms… pour vérifier le domaine, un MX priorité 0 vers la valeur fournie par Microsoft, un CNAME autodiscover vers autodiscover.outlook.com., un SPF contenant include:spf.protection.outlook.com, puis les deux CNAME DKIM et un DMARC. Supprimez ensuite les MX d'OVH.

Le point de départ est le centre d'administration Microsoft 365 : Paramètres → Domaines → Ajouter un domaine. Si l'assistant ne vous propose pas de connexion automatique à OVH, choisissez l'ajout manuel des enregistrements : il affiche les valeurs propres à votre domaine.

1. TXT de vérification du domaine

Dans OVH : Zone DNS → Ajouter une entrée → TXT → Suivant → Confirmer. Revenez ensuite dans Microsoft 365 et cliquez sur Vérifier. Microsoft précise que ce TXT sert uniquement à prouver la propriété du domaine et peut être supprimé une fois la vérification terminée.

2. MX vers Exchange Online

La forme historique est <domaine-avec-tirets>.mail.protection.outlook.com. Microsoft a commencé en 2026 à attribuer aux domaines nouvellement ajoutés des cibles sous un nouveau nom de zone (mx.microsoft) compatibles DNSSEC : ne recopiez donc pas un exemple trouvé en ligne, copiez la valeur affichée dans votre centre d'administration. Puis supprimez tous les anciens MX (icône corbeille ou ... → Supprimer l'entrée), comme le demande la documentation Microsoft pour OVH.

3. CNAME autodiscover (configuration automatique d'Outlook)

Facultatif mais fortement recommandé par Microsoft : c'est ce qui permet à Outlook de configurer le compte avec la seule adresse et le mot de passe. Un CNAME ne peut pas coexister avec un autre enregistrement sur le même sous-domaine : supprimez d'abord un éventuel autodiscover existant.

4. SPF Microsoft 365

v=spf1 include:spf.protection.outlook.com -all
      

C'est la valeur donnée par Microsoft. Mais s'il existe déjà un SPF (le SPF OVH par défaut, par exemple), ne créez pas de deuxième ligne : modifiez l'existante. Pendant la migration, gardez les deux fournisseurs :

v=spf1 include:mx.ovh.com include:spf.protection.outlook.com ~all
      

C'est aussi la réponse à la recherche « Outlook SPF OVH » : si vos boîtes sont chez Microsoft 365, c'est include:spf.protection.outlook.com qu'il faut ; si Outlook n'est que le logiciel qui lit une boîte OVH, c'est include:mx.ovh.com. Détails et limite des 10 lookups dans notre tutoriel SPF OVH.

5. DKIM Microsoft 365 : deux CNAME selector1 et selector2

Les noms d'hôte sont identiques pour tous les clients ; les cibles, elles, dépendent de votre tenant. Les domaines plus anciens peuvent afficher une cible en …_domainkey.<tenant>.onmicrosoft.com. Récupérez les valeurs exactes dans le portail Microsoft Defender (security.microsoft.com/authentication, onglet DKIM) ou via PowerShell (Get-DkimSigningConfig, champs Selector1CNAME et Selector2CNAME). Une fois les CNAME publiés et propagés, basculez l'interrupteur de votre domaine sur Activé. Pour le détail et les messages d'erreur, voir DKIM chez OVH.

6. DMARC

Type : TXT   Sous-domaine : _dmarc
v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr
      

Commencez en observation (p=none), lisez les rapports quelques semaines, puis durcissez. La progression est détaillée dans DMARC chez OVH.

Si vous utilisez Teams ou Intune, l'assistant Microsoft propose aussi des SRV (_sip._tls, _sipfederationtls._tcp) et des CNAME (sip, lyncdiscover, enterpriseregistration, enterpriseenrollment). Ils ne sont pas nécessaires pour le courrier.

Comment configurer Google Workspace avec un domaine OVH ?

Réponse courte : ajoutez le TXT google-site-verification=…, remplacez tous les MX par un seul MX smtp.google.com (priorité 1), mettez include:_spf.google.com dans le SPF, publiez la clé DKIM google._domainkey puis cliquez sur « Démarrer l'authentification », et terminez par un DMARC.

1. TXT de vérification

Google indique que la reconnaissance peut prendre jusqu'à 72 heures, et que le TXT doit rester en place jusqu'à la validation. Ce TXT n'est pas un SPF : il cohabite sans conflit avec lui.

2. MX : smtp.google.com depuis 2023

Depuis 2023, Google n'utilise plus qu'un seul MX pour les nouvelles configurations. Les anciens enregistrements en aspmx.l.google.com (avec alt1 à alt4) restent pris en charge : si votre domaine les utilise et que le courrier fonctionne, rien à changer. En revanche, Google demande de supprimer tous les autres MX, donc ceux d'OVH.

3. SPF Google Workspace

v=spf1 include:_spf.google.com ~all
      

Valeur donnée par Google, qui recommande ~all. Ajoutez les autres services d'envoi dans la même ligne (Google cite lui-même l'exemple v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all).

4. DKIM Google Workspace : google._domainkey

1. Console d'administration : Applications → Google Workspace → Gmail → Authentifier les e-mails.
2. Générez un nouvel enregistrement : longueur 2048 bits si votre DNS l'accepte, préfixe de sélecteur google (valeur par défaut).
3. Dans OVH : Ajouter une entrée → TXT, sous-domaine google._domainkey, valeur v=DKIM1; k=rsa; p=… collée telle quelle.
4. Retour dans la console : Démarrer l'authentification.

Deux délais à connaître, tous deux indiqués par Google : après l'activation de Gmail, il faut parfois attendre 24 à 72 heures avant de pouvoir générer la clé, puis jusqu'à 48 heures pour que l'authentification DKIM fonctionne. Si OVH signale une valeur trop longue, suivez les conseils de notre page DKIM OVH ou générez une clé de 1024 bits en dernier recours.

5. DMARC

Même principe que pour Microsoft : TXT sur _dmarc, valeur de départ v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr. Google recommande de configurer SPF et DKIM avant de publier DMARC.

Récapitulatif des enregistrements

Ce qu'il faut supprimer dans la zone OVH

Réponse courte : les anciens MX OVH, et l'include:mx.ovh.com du SPF une fois que plus rien ne part par OVH. Le reste se fait au cas par cas.

• MX OVH (mx1.mail.ovh.net, mx2.mail.ovh.net, mx3.mail.ovh.net ou équivalents) : à supprimer dès que le nouveau MX est en place. Les laisser, même avec une priorité plus faible, fait que certains e-mails peuvent encore arriver chez OVH.
• SPF par défaut : ne le supprimez pas, modifiez-le. Pendant la migration, les deux includes ; après, uniquement le nouveau fournisseur (plus vos outils d'emailing).
• Entrées de configuration automatique OVH : si votre zone contient un autodiscover ou un SRV _autodiscover._tcp pointant vers un serveur OVH, retirez-le pour Microsoft 365 : il peut faire configurer Outlook vers l'ancienne messagerie.
• DKIM OVH (si vous l'aviez activé) : inoffensif après la migration, vous pouvez le retirer une fois les boîtes OVH résiliées.
• Ne touchez pas aux enregistrements A, AAAA et CNAME www de votre site, ni aux NS.

Domaine OVH connecté à Wix : où créer les enregistrements ?

Réponse courte : cela dépend de la méthode de connexion. Si le domaine OVH est relié à Wix par les serveurs de noms (NS Wix dans l'onglet « Serveurs DNS » d'OVH), c'est Wix qui gère la zone : les MX, SPF, DKIM et DMARC se créent dans l'interface DNS de Wix, et la zone OVH n'est plus lue. Si le domaine est relié par pointage (enregistrements A/CNAME vers Wix), la zone reste chez OVH et tout ce tutoriel s'applique tel quel.

Wix le rappelle dans son centre d'aide : en connexion par pointage, c'est chez l'hébergeur du domaine (ici OVH) qu'on configure les enregistrements de messagerie. Les valeurs à saisir restent celles de Microsoft ou de Google.

Et Zimbra chez OVH : validation du domaine, MX, SRV, SPF, DKIM ?

Si vous restez chez OVHcloud mais passez à son offre Zimbra, la logique est plus simple. Pour un domaine géré dans le même espace client, l'assistant propose une « configuration recommandée » qui renseigne automatiquement la zone, avec des cases pour le SPF (valable pour toutes les offres e-mail OVHcloud, donc include:mx.ovh.com), le DKIM et le SRV d'autoconfiguration. Pour un domaine géré ailleurs, OVH demande d'abord d'ajouter un CNAME de validation, à publier sous 48 heures sous peine d'annulation. Ensuite, vérifiez que le SPF n'existe qu'en un seul exemplaire (voir le tutoriel SPF).

Vérifier que tout fonctionne

dig MX votredomaine.fr +short
dig TXT votredomaine.fr +short
dig CNAME autodiscover.votredomaine.fr +short
dig CNAME selector1._domainkey.votredomaine.fr +short   # Microsoft 365
dig TXT google._domainkey.votredomaine.fr +short        # Google Workspace
dig TXT _dmarc.votredomaine.fr +short
      

• Le centre d'administration Microsoft 365 (état du domaine) ou la console Google (statut Gmail et DKIM) doivent afficher la configuration comme correcte.
• Envoyez un e-mail vers Gmail et un vers Outlook.com, puis lisez les en-têtes : spf=pass, dkim=pass, dmarc=pass.
• Envoyez-vous un e-mail depuis une adresse extérieure pour confirmer la réception chez le nouveau fournisseur.

Si vous envoyez aussi des newsletters ou des e-mails de livraison depuis votre plateforme de vente, ajoutez-la à l'authentification : c'est souvent là que le DMARC échoue. Notre tutoriel automatiser la livraison d'un ebook montre un exemple de flux d'envoi à couvrir, et le guide plateformes et outils techniques aide à cartographier vos expéditeurs.

Questions fréquentes