Configurer SPF, DKIM et DMARC sur Google Workspace

Google publie tout son parc d’envoi derrière un seul include. C’est le cas le plus simple qui existe, et c’est aussi ce qui rend le dépassement de la limite de dix résolutions si facile à éviter ici : au 22 août 2026 cet include est aplati, il ne coûte donc qu’une résolution, et il n’y en a qu’un.

exemple.fr.  IN  TXT  "v=spf1 include:_spf.google.com -all"

1. 01

   Ouvrir la page d’authentification

   Dans la console d’administration : Menu, puis Applications, puis Google Workspace, puis Gmail, puis « Authentifier les e-mails ». Sélectionnez le domaine concerné si vous en avez plusieurs.

2. 02

   Générer la clé

   Choisissez 2048 bits, sauf si votre hébergeur DNS refuse les valeurs longues, auquel cas 1024 est le repli. Le préfixe du sélecteur est google par défaut ; gardez-le, sauf si un autre service signe déjà avec ce nom sur le même domaine.

3. 03

   Publier l’enregistrement TXT

   Google vous donne un nom d’hôte et une valeur. Le nom est google._domainkey, la valeur commence par v=DKIM1. Certains hébergeurs DNS n’acceptent pas une chaîne de plus de 255 caractères d’un seul tenant : il faut alors la découper en plusieurs chaînes entre guillemets, ce que la plupart des interfaces font seules.

   google._domainkey.exemple.fr.  IN  TXT
     "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A..."

4. 04

   Démarrer l’authentification

   C’est l’étape que presque tout le monde oublie. Revenez sur la page et cliquez sur « Démarrer l’authentification ». Tant que ce bouton n’a pas été cliqué, la clé est publiée mais Google ne signe rien.

Google gère votre messagerie, pas votre nom de domaine. L’enregistrement DMARC se publie donc là où se trouve votre zone DNS : chez OVH, Gandi, IONOS, Cloudflare, ou votre registrar. La console d’administration ne propose rien pour cela, et c’est normal.

_dmarc.exemple.fr.  IN  TXT
  "v=DMARC1; p=none; rua=mailto:rapports@exemple.fr"

Restez deux à quatre semaines en observation, le temps de recenser les autres services qui envoient en votre nom, puis durcissez par paliers. La procédure est dans le guide sur le passage en rejet.

dig +short TXT exemple.fr | grep spf1
dig +short TXT google._domainkey.exemple.fr
dig +short TXT _dmarc.exemple.fr

Le contrôle décisif se fait toutefois sur un message réel. Envoyez-vous un e-mail depuis le domaine vers une adresse Gmail personnelle, ouvrez-le, puis « Afficher l’original ». Les trois lignes SPF, DKIM et DMARC doivent indiquer PASS, et le domaine affiché à côté de DKIM doit être exactement le vôtre.

Google protège très bien ce qui arrive dans vos boîtes. Rien de ce qui est décrit ici ne concerne le courrier entrant : il s’agit uniquement des messages qui partent avec votre nom, depuis des serveurs qui n’appartiennent ni à vous ni à Google, vers vos clients. Google n’a aucun moyen d’arrêter ceux-là, et ne configure pas votre domaine à votre place.

Et une fois les trois enregistrements en place, les domaines sosies et le nom affiché trompeur passent toujours. C’est détaillé dans l’article sur les limites de DMARC.