Configurer SPF, DKIM et DMARC sur OVH, pas à pas

; 1. SPF — un seul enregistrement TXT à la racine (sous-domaine vide)
votredomaine.fr.                          TXT    "v=spf1 include:mx.ovh.com ~all"

; 2. DKIM — sélecteur fourni par OVH ou par votre outil d'envoi (souvent un CNAME)
<selecteur>._domainkey.votredomaine.fr.   CNAME  <cible fournie par le service>.

; 3. DMARC — commencez en mode observation
_dmarc.votredomaine.fr.                   TXT    "v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr"
        

Pourquoi SPF, DKIM et DMARC sont indispensables en 2026

Depuis février 2024, Gmail et Yahoo exigent de tous les expéditeurs au moins SPF ou DKIM, et des expéditeurs de gros volume (plus de 5 000 messages par jour vers Gmail) les trois : SPF, DKIM et DMARC. Microsoft a annoncé des exigences comparables pour Outlook.com en 2025. Pour un créateur qui envoie moins, les e-mails arrivent souvent quand même — mais sans authentification, le placement en spam augmente sans prévenir.

Les trois enregistrements jouent des rôles complémentaires. SPF déclare quels serveurs ont le droit d'envoyer des e-mails pour votre domaine. DKIM ajoute une signature cryptographique à chaque e-mail, qui prouve qu'il vient bien de votre domaine et n'a pas été modifié en chemin. DMARC indique aux serveurs destinataires quoi faire si ni SPF ni DKIM ne sont validés et alignés sur l'adresse d'expéditeur visible (rien, quarantaine ou rejet), et vous envoie des rapports. Chaque protocole a sa page détaillée : l'enregistrement SPF chez OVH, activer DKIM chez OVH et configurer DMARC chez OVH.

Prérequis

• Un domaine dont la zone DNS est gérée chez OVHcloud (espace client : www.ovh.com/manager).
• Les paramètres fournis par votre outil d'envoi (Kit, MailerLite, Brevo, ActiveCampaign, SendGrid, Systeme.io…) ou l'accès à votre offre e-mail OVHcloud.
• Une boîte Gmail pour lire les en-têtes d'un e-mail test.
• dig en local (inclus sur macOS/Linux ; sous Windows, nslookup ou WSL).

Étape 1 — Identifier qui envoie vos e-mails (3 min)

Tout part de là : chaque service qui envoie avec une adresse @votredomaine.fr doit être autorisé. Point important, beaucoup d'outils d'e-mailing n'ont pas besoin d'un include: dans votre SPF racine : ils utilisent leur propre domaine de retour (Return-Path) et passent DMARC grâce à un DKIM aligné, publié en CNAME. Les valeurs exactes (surtout les cibles CNAME) sont propres à votre compte : copiez toujours celles affichées dans l'interface de l'outil.

Relevé effectué dans les documentations officielles en septembre 2026 ; les éditeurs font évoluer leurs parcours, fiez-vous à ce que votre compte affiche. Les anciennes valeurs qu'on trouve encore sur le web (include:_spf.convertkit.com, include:spf.sendinblue.com, DKIM ActiveCampaign en TXT dk._domainkey) correspondent à d'anciens parcours. Si vous utilisez Microsoft 365 ou Google Workspace pour votre messagerie avec un domaine OVH, le guide domaine OVH + Microsoft 365 ou Google Workspace détaille aussi les MX à remplacer.

Étape 2 — Accéder à la zone DNS OVH (2 min)

1. Connectez-vous à l'espace client OVHcloud (www.ovh.com/manager).
2. Onglet « Web Cloud » → « Noms de domaine » → cliquez sur votre domaine.
3. Onglet « Zone DNS », puis bouton « Ajouter une entrée ».

OVH propose, en plus du type générique TXT, des types d'entrée assistés : SPF (formulaire guidé, avec un bouton pour appliquer le SPF standard des offres OVHcloud), DKIM (paramètres en champs séparés) et DMARC (outil de configuration simplifié). Ils produisent un enregistrement TXT standard : vous pouvez utiliser l'un ou l'autre. Vérifiez aussi l'onglet « Serveurs DNS » : si votre domaine pointe vers d'autres serveurs DNS (Cloudflare par exemple), c'est là-bas qu'il faut ajouter les entrées, pas chez OVH.

Étape 3 — Ajouter l'enregistrement SPF (5 min)

Un seul SPF par domaine. S'il en existe déjà un (OVH en crée souvent un par défaut avec include:mx.ovh.com), modifiez-le au lieu d'en ajouter un second : fusionnez les include: dans une seule ligne.

1. « Ajouter une entrée » → type SPF (assistant) ou TXT.
2. Sous-domaine : laissez vide (domaine racine).
3. TTL : laissez la valeur par défaut, ou 3600.
4. Valeur : adaptez selon vos services. Exemple pour une messagerie OVHcloud + MailerLite :

v=spf1 include:mx.ovh.com include:_spf.mlsend.com ~all
      

Gardez v=spf1 en tête et un seul all en fin : ~all (échec souple, recommandé tant que DMARC est en observation) ou -all (échec strict, une fois tous vos expéditeurs recensés). La norme limite l'évaluation à 10 requêtes DNS (chaque include compte, ainsi que les include imbriqués) : au-delà, le SPF renvoie une erreur permerror. Le détail des cas (fusion, limite des 10, SPF OVH par défaut) est dans notre tutoriel SPF chez OVH.

Étape 4 — Ajouter DKIM (6 min)

DKIM se publie sur un sous-domaine de la forme <sélecteur>._domainkey. Le sélecteur et la valeur viennent toujours du service qui signe les e-mails : OVHcloud pour une messagerie OVH (voir la section suivante), votre outil d'e-mailing sinon.

1. Dans l'outil d'envoi, ouvrez la section d'authentification du domaine (Kit : vérification du domaine d'envoi ; MailerLite : Domains ; Brevo : Senders, domains…).
2. Relevez le nom (ex. cka._domainkey), le type (CNAME ou TXT) et la valeur.
3. Chez OVH : « Ajouter une entrée » → CNAME (ou TXT/DKIM si l'outil fournit une clé v=DKIM1; k=rsa; p=…).
4. Sous-domaine : saisissez uniquement la partie avant votre domaine (cka._domainkey, pas cka._domainkey.votredomaine.fr), sinon OVH l'ajoute une seconde fois.
5. Cible (CNAME) : collez la valeur fournie ; si OVH la complète avec votre domaine, ajoutez un point final (litesrv._domainkey.mlsend.com.).
6. Validez, puis cliquez sur « Vérifier » dans l'outil d'envoi une fois la propagation faite.

Si vos e-mails sont hébergés chez OVH (MX Plan, Zimbra, Email Pro, Exchange)

Bonne nouvelle : OVHcloud gère l'essentiel. SPF : la valeur standard des offres e-mail OVHcloud est v=spf1 include:mx.ovh.com ~all, souvent déjà présente dans la zone (sinon, le type d'entrée SPF propose un bouton qui l'applique). DKIM : il s'active dans l'espace client, sans copier de clé :

Cliquez sur la pastille DKIM (rouge ou grise tant qu'il n'est pas actif), puis validez. Si la zone DNS est chez OVH, les deux CNAME sont créés automatiquement ; si elle est ailleurs, l'assistant affiche les deux CNAME à reporter chez votre hébergeur DNS. Selon la documentation OVHcloud, l'activation prend de 30 minutes à 24 heures ; la pastille passe au vert quand DKIM est opérationnel. Libellés relevés sur help.ovhcloud.com en septembre 2026 : l'interface peut légèrement évoluer.

DMARC : OVH ne le crée pas pour vous. Ajoutez-le vous-même (étape 5), avec le type d'entrée DMARC ou en TXT. Pour la réception, les MX OVHcloud sont mx0.mail.ovh.net à mx4.mail.ovh.net (priorités 1, 5, 50, 100, 200) ; l'onglet Diagnostic de Zimbra et les pastilles MX/SRV d'Email Pro et Exchange signalent ce qui manque.

Étape 5 — Ajouter la politique DMARC (4 min)

DMARC se pose sur le sous-domaine _dmarc. Commencez en p=none (observation, aucun rejet), puis durcissez après 2 à 4 semaines de rapports propres.

1. « Ajouter une entrée » → type DMARC (assistant) ou TXT.
2. Sous-domaine : _dmarc.
3. Valeur (phase d'observation) :

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr
      

p=none : aucune action sur les e-mails non conformes, seulement des rapports. rua : adresse qui reçoit les rapports agrégés (créez-la, ou utilisez un service d'analyse DMARC). L'alignement reste en mode souple par défaut (adkim=r, aspf=r), ce qui accepte une signature DKIM faite par un sous-domaine du vôtre : évitez l'alignement strict (s) tant que vous n'avez pas vérifié tous vos expéditeurs dans les rapports.

Une fois les rapports sans surprise, passez à p=quarantine (courrier non conforme en spam), puis à p=reject. La lecture des rapports et la montée en politique sont détaillées dans DMARC chez OVH.

Étape 6 — Attendre la propagation (2 à 24 h)

OVHcloud indique qu'une modification de zone DNS demande de 4 à 24 heures pour être pleinement effective, le temps que les caches des résolveurs expirent. Dans les faits, les nouvelles entrées sont souvent visibles plus tôt. Ne multipliez pas les modifications pendant ce délai : vérifiez d'abord avec dig.

Étape 7 — Vérifier avec dig et MXToolbox (5 min)

Vérification avec dig (ligne de commande)

Remplacez le sélecteur par le vôtre (cka, litesrv, ovhmo…-selector1…) :

dig TXT votredomaine.fr +short
dig CNAME cka._domainkey.votredomaine.fr +short
dig TXT cka._domainkey.votredomaine.fr +short
dig TXT _dmarc.votredomaine.fr +short
      

Attendu : un seul résultat commençant par v=spf1 pour la racine, la cible CNAME (puis la clé v=DKIM1… derrière) pour DKIM, et votre ligne v=DMARC1. Une sortie vide signifie que l'entrée n'est pas encore visible (ou mal nommée : vérifiez le doublon de domaine).

Vérification avec MXToolbox (interface web)

• Ouvrez mxtoolbox.com/SuperTool.aspx.
• Lancez « SPF Record Lookup », « DMARC Lookup », puis « DKIM Lookup » (ce dernier demande le sélecteur, ex. votredomaine.fr:cka).
• Un résultat vert signifie que l'enregistrement est lisible et valide ; un résultat rouge affiche l'erreur.

Étape 8 — Envoyer un e-mail test et lire les en-têtes dans Gmail (3 min)

1. Envoyez-vous un e-mail depuis votre outil (envoi test) ou votre messagerie.
2. Recevez-le sur une adresse Gmail.
3. Ouvrez le message → trois points en haut à droite → « Afficher l'original ».
4. Gmail affiche en tête un résumé SPF / DKIM / DMARC avec « PASS » ou « FAIL ». Le détail est dans la ligne Authentication-Results.

Exemple de bloc attendu :

Authentication-Results: mx.google.com;
       dkim=pass header.i=@votredomaine.fr header.s=cka
       spf=pass (google.com: domain of bounce@... designates ... as permitted sender)
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=votredomaine.fr
      

Avec un outil d'e-mailing, SPF passe souvent sur son domaine de retour et non le vôtre : c'est normal. Ce qui compte pour DMARC, c'est qu'au moins un des deux (ici DKIM, avec header.i=@votredomaine.fr) soit valide et aligné.

Ce qui peut aller de travers — erreurs fréquentes

• dkim=neutral ou dkim=fail : entrée pas encore propagée, sous-domaine dupliqué (cka._domainkey.votredomaine.fr.votredomaine.fr) ou clé TXT tronquée. Recopiez la valeur brute et contrôlez avec dig.
• spf=permerror : deux enregistrements SPF, ou plus de 10 requêtes DNS. Fusionnez et retirez les include inutiles.
• spf=softfail : le serveur d'envoi n'est pas couvert par votre SPF. Ajoutez l'include manquant (si le service en exige un) ou assurez-vous que DKIM est aligné.
• dmarc=fail : ni SPF ni DKIM ne sont alignés sur l'adresse From. Vérifiez que l'outil signe avec votre domaine (DKIM authentifié) et que l'adresse d'expéditeur utilise bien @votredomaine.fr.
• Les e-mails partent en spam malgré trois « pass » : la délivrabilité dépend aussi de la réputation de l'outil, de l'engagement de votre liste et du contenu. SPF, DKIM et DMARC sont nécessaires, pas suffisants — voir notre guide Plateformes et outils techniques.

Pour aller plus loin

• Montée en charge progressive : sur un domaine neuf, augmentez les volumes par paliers. Détail dans notre guide Plateformes et outils techniques.
• Nettoyage régulier de la liste : retirez les abonnés inactifs depuis plusieurs mois.
• BIMI (optionnel) : affiche votre logo dans certaines messageries ; exige une politique DMARC p=quarantine ou p=reject.
• MTA-STS (optionnel) : impose le chiffrement TLS pour les e-mails entrants sur votre domaine.

Questions fréquentes