SPF, DKIM et DMARC pour Google Workspace : étape par étape
Voici la version appliquée, à faire dans cet ordre — si vous voulez d'abord comprendre ce que font réellement SPF, DKIM et DMARC, lisez ces guides. Celui-ci ne couvre que les enregistrements et les clics propres à Google Workspace.
SPF pour Google Workspace
Ajoutez un unique enregistrement TXT à la racine de votre domaine :
v=spf1 include:_spf.google.com ~all
Si vous envoyez aussi des e-mails depuis d'autres services (un CRM, un service d'assistance, un outil marketing), ajoutez leurs includes à ce même enregistrement — un domaine ne peut avoir qu'un seul enregistrement SPF, donc un second n'ajoute pas de couverture, il casse la validation.
DKIM pour Google Workspace
- Dans l'Admin Console, allez dans Apps → Google Workspace → Gmail → Authentifier l'e-mail
- Générez un nouvel enregistrement — choisissez une clé de 2048 bits si elle est proposée ; c'est l'option la plus robuste, et Google la prend en charge
- Google vous donne un enregistrement TXT : un nom d'hôte (le sélecteur, quelque chose comme google._domainkey) et une longue valeur
- Ajoutez exactement cet enregistrement TXT à votre DNS
- Revenez dans l'Admin Console et cliquez sur « Démarrer l'authentification » — ajouter l'enregistrement DNS seul n'active pas la signature DKIM
DMARC pour Google Workspace
DMARC ne se configure pas du tout dans Google Workspace — c'est un simple enregistrement TXT DNS à _dmarc.votredomaine.com. Commencez par p=none pour surveiller sans affecter la délivrabilité, et consultez notre guide DMARC pour choisir les adresses rua et passer à une politique plus stricte.
_dmarc.yourdomain.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Vérifier les trois
Une fois les enregistrements publiés et l'authentification DKIM démarrée, une vérification de sécurité e-mail confirme que SPF, DKIM et DMARC résolvent et s'alignent correctement.
Les erreurs qui cassent cette configuration
- Un enregistrement SPF résiduel d'un ancien fournisseur de messagerie, créant deux enregistrements TXT SPF au lieu d'un seul fusionné
- Ajouter l'enregistrement TXT DKIM mais ne jamais cliquer sur « Démarrer l'authentification » dans l'Admin Console — Google ne signera pas le courrier sortant tant que ce n'est pas fait
- Vérifier le statut DKIM immédiatement après l'ajout de l'enregistrement, avant que le DNS ne se propage — la propre vérification de Google peut échouer pour des raisons qui n'ont rien à voir avec un enregistrement erroné
Vérifiez votre configuration
Voyez la théorie en pratique — lancez Vérification de la sécurité e-mail pour votre propre domaine.