Guide pas à pas · Gandi

Configurer SPF, DKIM et DMARC chez Gandi

Pour un domaine dont les serveurs DNS sont ceux de Gandi. Comptez 15 minutes, puis un temps de propagation.

Étapes d'après la documentation officielle Gandi (nouvel onglet, en anglais). L'interface évolue : si un libellé a changé, suivez la documentation.

1. Ouvrir la zone DNS

Vérifiez d'abord que les serveurs DNS de votre domaine sont bien ceux de Gandi : le vérificateur email vous les indique. Sinon, les modifications faites chez Gandi n'auront aucun effet : il faut les faire chez la société qui gère vos serveurs DNS.

1. Connectez-vous à Gandi et ouvrez Domain dans le menu de gauche, puis cliquez sur votre nom de domaine.
2. Ouvrez l'onglet DNS Records.
3. En mode tableau, cliquez sur le bouton vert Add au-dessus du tableau, choisissez le type TXT et renseignez le nom et la valeur.

Les libellés sont ceux de la documentation en anglais ; ils peuvent être traduits selon la langue de votre interface. Gandi propose aussi « Edit DNS Records » pour modifier la zone en mode texte, à réserver aux personnes à l'aise avec le format.

2. SPF : dire qui a le droit d'envoyer vos emails

Il ne doit exister qu'un seul enregistrement SPF (une ligne TXT commençant par v=spf1). S'il existe déjà, modifiez-le au lieu d'en ajouter un second : deux SPF les rendent tous les deux invalides.

Sinon, créez un enregistrement de type TXT sur la racine du domaine (@ ou nom vide selon l'interface), avec la valeur correspondant à votre messagerie :

• Google Workspace : v=spf1 include:_spf.google.com ~all
• Microsoft 365 : v=spf1 include:spf.protection.outlook.com ~all
• Proton Mail : v=spf1 include:_spf.protonmail.ch ~all
• Messagerie OVHcloud : v=spf1 include:mx.ovh.com ~all
• Gandi Mail : v=spf1 include:_mailcust.gandi.net ~all
• Fastmail : v=spf1 include:spf.messagingengine.com ~all
• Infomaniak (service mail) : v=spf1 include:spf.infomaniak.ch ~all

Pour Gandi Mail, la valeur recommandée par Gandi est v=spf1 include:_mailcust.gandi.net ~all.

Autre fournisseur : prenez la valeur « include » indiquée dans sa documentation, sans la deviner. Si vous envoyez aussi des emails via un autre service (newsletter, facturation…), ajoutez son include dans la même ligne, avant la fin. Gardez ~all en cas de doute, et passez à -all quand tous vos expéditeurs sont listés.

Les guillemets autour de la valeur sont ajoutés par certaines interfaces : n'en ajoutez pas si c'est le cas.

3. DMARC : décider quoi faire des faux emails

Créez un enregistrement de type TXT, nom _dmarc (si l'interface demande le nom complet, saisissez _dmarc.votre-domaine.fr), valeur (remplacez l'adresse par une boîte que vous lisez) :

v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr

p=none ne bloque rien : il vous envoie des rapports pour vérifier que vos emails légitimes passent bien. Après quelques semaines sans surprise, passez à p=quarantine, puis p=reject.

4. DKIM : signer vos emails

La clé DKIM est générée par votre messagerie : activez la signature dans son interface d'administration, elle vous indique le ou les enregistrements à créer (type, nom et valeur). Reprenez-les ici exactement, puis relancez le test. Si le sélecteur n'est pas détecté, saisissez-le dans les options avancées de l'outil.

5. Attendre, puis vérifier

Gandi indique que les modifications peuvent prendre jusqu'à 72 heures pour être visibles partout, même si elles sont souvent plus rapides. Relancez ensuite le vérificateur email pour confirmer le résultat. Pour comprendre chaque réglage : SPF, DKIM et DMARC expliqués simplement.