Guide pas à pas · Cloudflare

Configurer SPF, DKIM et DMARC chez Cloudflare

Pour un domaine dont les serveurs DNS sont ceux de Cloudflare. Les enregistrements se créent en quelques minutes.

Étapes d'après la documentation officielle Cloudflare (nouvel onglet). L'interface évolue : si un libellé a changé, suivez la documentation.

1. Ouvrir la liste des enregistrements

Connectez-vous au tableau de bord Cloudflare, choisissez votre domaine, puis ouvrez la page DNS > Records.

2. SPF : dire qui a le droit d'envoyer vos emails

Il ne doit exister qu'un seul enregistrement SPF (une ligne TXT commençant par v=spf1). S'il existe déjà, modifiez-le au lieu d'en ajouter un second : deux SPF les rendent tous les deux invalides.

Sinon : Add record, type TXT, nom @ (la racine du domaine), contenu selon votre messagerie, puis Save :

• Google Workspace : v=spf1 include:_spf.google.com -all
• Microsoft 365 : v=spf1 include:spf.protection.outlook.com -all
• Proton Mail : v=spf1 include:_spf.protonmail.ch -all
• Messagerie OVHcloud : v=spf1 include:mx.ovh.com ~all

Autre fournisseur : prenez la valeur « include » indiquée dans sa documentation. Si vous envoyez aussi des emails via un autre service (newsletter, facturation…), ajoutez son include avant la fin. Gardez ~all en cas de doute, et passez à -all quand tous vos expéditeurs sont listés.

Inutile d'ajouter des guillemets autour du contenu : Cloudflare les ajoute tout seul pour un nouvel enregistrement TXT.

3. DMARC : décider quoi faire des faux emails

Add record, type TXT, nom _dmarc, contenu (remplacez l'adresse par une boîte que vous lisez) :

v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr

p=none ne bloque rien : il vous envoie des rapports pour vérifier que vos emails légitimes passent bien. Après quelques semaines sans surprise, passez à p=quarantine, puis p=reject.

4. DKIM : signer vos emails

La clé DKIM est fournie par votre messagerie (Google, Microsoft, Proton…) : activez la signature dans son interface d'administration, elle vous indique l'enregistrement à créer. Ajoutez-le ensuite dans Cloudflare de la même façon (Add record, en reprenant le type, le nom et la valeur donnés). Puis relancez le test : si le sélecteur n'est pas détecté, saisissez-le dans les options avancées de l'outil.

5. Vérifier

Les nouveaux enregistrements sont souvent visibles en quelques minutes, parfois plus tard. Relancez le vérificateur email pour confirmer le résultat.

Cloudflare propose aussi son propre assistant « Email security » pour ces enregistrements ; les étapes ci-dessus fonctionnent sans lui.