Configurer SPF, DKIM et DMARC chez Gandi Mail

Avant de commencer

Les enregistrements se modifient dans le compte Gandi : rubrique « Nom de domaine », votre domaine, onglet « Enregistrements DNS », bouton « Ajouter » (le crayon modifie une ligne existante). Il existe une vue simple et une vue avancée, cette dernière permettant d'éditer le fichier de zone en texte.

Si votre domaine utilise des serveurs DNS externes, l'interface Gandi ne peut pas les modifier : Gandi précise que son interface n'accède qu'à ses propres DNS. Vous créez alors les mêmes enregistrements chez votre fournisseur DNS (Cloudflare, par exemple).

SPF chez Gandi

1. Ouvrez « Enregistrements DNS » de votre domaine.
2. Cherchez un enregistrement TXT commençant par v=spf1. S'il existe, modifiez-le : Gandi insiste sur le fait qu'il ne peut y avoir qu'un seul SPF et qu'il faut ajouter tout autre service d'envoi (une newsletter, par exemple) au SPF existant.
3. Sinon, créez un enregistrement TXT avec la valeur ci-dessous.

Gandi publie deux variantes sur ses pages : ~all dans la FAQ sur le SPF, ?all dans la page dédiée aux outils anti-usurpation de Gandi Mail. Le point stable est include:_mailcust.gandi.net. ~all est le choix le plus courant.

Si vous envoyez aussi depuis un hébergement web Gandi, Gandi indique d'ajouter include:_spf.gpaas.net dans la même ligne.

DKIM chez Gandi

Cas 1, votre zone DNS est chez Gandi (LiveDNS) : pas de saisie DNS, il suffit d'activer la signature.

1. Dans le compte Gandi : « Nom de domaine », cliquez sur le domaine rattaché à la boîte, puis sur l'onglet des boîtes et redirections mail.
2. Dans le bloc « Paramètres et sécurité », cliquez sur « Modifier ».
3. Activez l'interrupteur « Signature DKIM » puis cliquez sur « Mettre à jour ».
4. Cas 2, votre domaine et votre boîte sont chez Gandi mais pas les DNS : publiez à la main les trois CNAME ci-dessous chez votre fournisseur DNS.

Les trois sont nécessaires : Gandi les prévoit pour changer de clé sans coupure. Il n'y a pas de clé à copier, ce sont de simples alias.

DMARC chez Gandi

Gandi rappelle que DMARC est inutile sans SPF et DKIM : configurez-les d'abord.

1. Dans « Enregistrements DNS », ajoutez un enregistrement TXT de nom _dmarc.
2. Saisissez la valeur ci-dessous en remplaçant l'adresse par la boîte qui recevra les rapports.

L'exemple de la documentation Gandi est directement en p=reject. Gandi prévient qu'une politique reject peut empêcher la livraison d'un email redirigé (un transfert automatique vers une autre adresse, par exemple). Gardez p=none quelques semaines, le temps de lire les rapports reçus à l'adresse rua et de repérer les envois légitimes qui échouent encore. Passez ensuite à p=quarantine, puis à p=reject quand plus rien de légitime n'est signalé.

Les erreurs fréquentes

• Passer sur des serveurs DNS externes sans recopier les enregistrements de messagerie : Gandi avertit que le site et la messagerie peuvent devenir indisponibles.
• Oublier un des trois CNAME DKIM quand les DNS sont externes.
• Utiliser une boîte Gandi pour des campagnes en masse : la documentation Gandi précise que les boîtes sont conçues pour un usage courant et qu'un usage hors de ce cadre, notamment les campagnes de masse, peut entraîner la suspension de la boîte. Elle documente aussi des limites d'envoi (8 000 messages par jour, 1 000 par heure, 200 par minute).
• Plusieurs lignes v=spf1 : une seule est admise.

Questions fréquentes

Sources officielles

• Gandi : activer les outils anti-usurpation (SPF, DKIM, DMARC)
• Gandi : enregistrement SPF
• Gandi : modifier les enregistrements DNS
• Gandi : limites de Gandi Mail

Interfaces et valeurs relevées dans la documentation officielle le 15 octobre 2026. Les hébergeurs changent parfois leurs menus : en cas d'écart, la page officielle prime.

Autre hébergeur de messagerie ?

• OVHcloud
• Infomaniak
• Google Workspace
• Microsoft 365
• o2switch