Configurer SPF, DKIM et DMARC avec Google Workspace

Avant de commencer

Google ne gère pas votre zone DNS : SPF, DKIM et DMARC se publient chez l'hébergeur de votre domaine, généralement l'endroit où vous l'avez acheté. Les pages de la zone DNS s'appellent différemment selon les hébergeurs, mais cherchez toujours l'endroit où l'on ajoute des enregistrements TXT.

Pour la clé DKIM, il faut un accès administrateur à la console d'administration Google. Si Gmail vient d'être activé sur le domaine, Google indique qu'il faut attendre 24 à 72 heures avant que la clé apparaisse dans la console.

SPF pour Google Workspace

1. Connectez-vous chez l'hébergeur DNS de votre domaine et ouvrez la page où l'on met à jour les enregistrements TXT.
2. Ajoutez ou mettez à jour l'enregistrement TXT avec la valeur ci-dessous.

Chaque domaine ne peut avoir qu'un seul enregistrement SPF : si vous utilisez aussi un autre service d'envoi, regroupez tout dans une seule ligne. Chaque sous-domaine qui envoie des emails a besoin de son propre SPF.

DKIM pour Google Workspace

1. Dans la console d'administration Google : menu, Applications, Google Workspace, Gmail, puis « Authentifier les e-mails » (Authenticate email dans l'interface en anglais). Choisissez votre domaine.
2. Générez la clé. Choisissez 2048 bits si votre hébergeur DNS les accepte, sinon 1024 bits. Le préfixe de sélecteur par défaut est google ; si le domaine utilise déjà une clé avec ce préfixe, saisissez-en un autre.
3. Copiez le nom d'hôte DNS (par exemple google._domainkey) et la valeur de l'enregistrement TXT affichés par la console, et publiez-les chez votre hébergeur DNS.
4. Revenez dans la console et lancez l'authentification (Start authentication en anglais). Ne le faites qu'après avoir publié l'enregistrement.

Google annonce jusqu'à 48 heures avant que l'authentification DKIM fonctionne. Certains hébergeurs DNS limitent la longueur d'un enregistrement TXT : c'est la cause habituelle d'une clé 2048 bits refusée, dans ce cas prenez 1024 bits.

DMARC pour Google Workspace

Il n'y a rien à faire dans la console d'administration pour DMARC : l'enregistrement se publie uniquement chez votre hébergeur DNS. Google demande d'avoir activé SPF et/ou DKIM avant, et d'attendre 48 heures après leur mise en place.

1. Chez votre hébergeur DNS, créez un enregistrement TXT dont le nom est _dmarc.votredomaine.fr (selon l'hébergeur, il suffit de saisir _dmarc).
2. Saisissez la valeur ci-dessous. Google recommande de toujours inclure l'adresse rua, vers une boîte dédiée ou un groupe.

Google recommande de commencer avec p=none puis, avec le temps, de passer à quarantine ou reject. Gardez p=none quelques semaines, le temps de lire les rapports reçus à l'adresse rua et de repérer les envois légitimes qui échouent encore. Passez ensuite à p=quarantine, puis à p=reject quand plus rien de légitime n'est signalé.

Les erreurs fréquentes

• Cliquer sur le démarrage de l'authentification DKIM avant d'avoir publié l'enregistrement TXT.
• Chercher à publier SPF ou DMARC dans la console Google : ils se publient chez l'hébergeur DNS.
• Avoir deux SPF parce qu'un outil d'envoi a ajouté sa propre ligne : regroupez-les.
• Un message « mettez à jour les enregistrements DNS » qui reste affiché dans la console : Google indique qu'il peut rester jusqu'à 48 heures.

Questions fréquentes

Sources officielles

• Google : configurer le SPF
• Google : configurer le DKIM
• Google : configurer le DMARC
• Google : règles pour les expéditeurs

Interfaces et valeurs relevées dans la documentation officielle le 15 octobre 2026. Les hébergeurs changent parfois leurs menus : en cas d'écart, la page officielle prime.

Autre hébergeur de messagerie ?

• OVHcloud
• Infomaniak
• Microsoft 365
• Gandi
• o2switch