Configurer SPF, DKIM et DMARC chez OVHcloud

Deux vérifications valent le quart d’heure qu’elles font gagner. D’abord, la zone DNS de votre domaine est-elle bien chez OVH ? Un domaine acheté chez OVH peut parfaitement être délégué à Cloudflare ou à un autre hébergeur, et dans ce cas les modifications faites dans l’espace client OVH n’ont aucun effet.

dig +short NS exemple.fr
# dns*.ovh.net → la zone est chez OVH

Ensuite, relevez ce qui est déjà publié. Un second enregistrement SPF hérité d’une ancienne configuration invalide le premier, et un DMARC oublié peut se retrouver en conflit avec celui que vous vous apprêtez à écrire.

dig +short TXT exemple.fr
dig +short TXT _dmarc.exemple.fr
dig +short MX exemple.fr

1. 01

   Ouvrir la zone DNS

   Dans l’espace client OVHcloud : Web Cloud, puis Noms de domaine, puis votre domaine, puis l’onglet Zone DNS. Le bouton « Ajouter une entrée » se trouve au-dessus du tableau.

2. 02

   Publier SPF

   Choisissez le type SPF. Le formulaire propose « Utiliser le SPF de l’hébergement web OVHcloud » : cette case autorise les serveurs d’envoi de l’hébergement web, ce qui n’est pas la même chose que votre messagerie. Si vos boîtes sont sur MX Plan ou Email Pro, il faut aussi include:mx.ovh.com. Si elles sont chez Google ou Microsoft, c’est leur include qu’il faut, et celui d’OVH ne sert que si votre site envoie aussi des messages.

   exemple.fr.  IN  TXT  "v=spf1 include:mx.ovh.com 
                           include:spf.ovh.net -all"

3. 03

   Activer DKIM sans toucher au DNS

   Depuis 2023, OVH génère et publie la clé lui-même sur les offres MX Plan nouvelle génération et Email Pro. Allez dans E-mails, sélectionnez votre service, ouvrez l’onglet Informations générales puis la section Sécurité, et activez DKIM. L’enregistrement apparaît seul dans la zone. Sur une offre plus ancienne, ou avec une messagerie tierce, c’est le fournisseur de la messagerie qui vous donne la valeur à publier.

4. 04

   Publier DMARC en observation

   Ici se trouve le piège de cette page, et il vaut la peine de le lire en entier : voir la section suivante. Pour un premier enregistrement en observation, le formulaire assisté suffit. Choisissez le type DMARC, saisissez _dmarc comme sous-domaine, DMARC1 en version, none en règle, et votre adresse de rapports en rua.

5. 05

   Vérifier depuis l’extérieur

   Ne vous fiez pas à l’affichage de l’espace client : il montre ce qu’il a enregistré, pas ce que le monde résout. Comptez quelques minutes de propagation, puis interrogez le DNS depuis un résolveur public.

   dig @1.1.1.1 +short TXT _dmarc.exemple.fr
   dig @1.1.1.1 +short TXT exemple.fr

OVH propose un type d’entrée DMARC avec un formulaire guidé, et c’est une bonne idée pour un premier enregistrement. Ce formulaire n’expose que six balises : la version, p, pct, rua, sp et aspf.

Il manque donc adkim, qui règle la sévérité de l’alignement DKIM. C’est la balise qui compte le plus une fois le rejet en place, parce que DKIM est le contrôle qui survit aux transferts. Un domaine configuré uniquement par ce formulaire aura aspf=s et un alignement DKIM resté en mode relâché sans que personne ne l’ait décidé.

Sous-domaine : _dmarc
Type         : TXT
Valeur       : v=DMARC1; p=reject; rua=mailto:rapports@exemple.fr;
               adkim=s; aspf=s; pct=100

Publier les trois enregistrements ne protège pas encore votre domaine : tant que la politique est en p=none, rien n’est bloqué. La montée jusqu’au rejet demande deux à trois semaines de lecture des rapports, et elle est décrite dans le guide sur le passage en rejet.

Cette page décrit l’interface d’OVHcloud telle qu’elle était le 22 août 2026. Les hébergeurs déplacent leurs menus ; si le chemin ne correspond plus, les valeurs à publier, elles, n’ont pas changé.