En bref
- Texte typique : « Gmail requires all senders to authenticate with either SPF or DKIM. »
- Depuis le 1er février 2024, Gmail exige SPF ou DKIM de tous les expéditeurs. Au-delà de 5 000 messages par jour vers Gmail, il faut SPF, DKIM et DMARC.
- Trois causes documentées : SPF ou DKIM absents ou en échec, SPF en « -all » qui exclut votre IP, politique DMARC non satisfaite.
- La correction se fait dans la zone DNS de votre domaine, puis se vérifie avec dig et dans l'en-tête du message reçu.
Ce que Gmail contrôle
Gmail regarde si le message passe SPF (l'IP d'envoi est autorisée par le domaine) ou DKIM (la signature du message est valide). Pour les gros expéditeurs, il demande de plus que le domaine de l'adresse From corresponde au domaine authentifié par SPF ou par DKIM : c'est ce qu'on appelle l'alignement, et c'est ce que DMARC vérifie.
Une clé DKIM doit faire au moins 1 024 bits, et Google recommande 2 048 bits. Un SPF peut passer et un DMARC échouer quand le SPF authentifie un domaine d'envoi technique, par exemple celui de votre outil de campagne, au lieu de votre domaine d'adresse.
Les causes, et comment les distinguer
Ni SPF ni DKIM valides pour le domaine expéditeur
Comment le reconnaître : Le refus cite l'exigence d'authentification SPF ou DKIM. La commande dig sur le domaine ne montre aucune ligne v=spf1 et aucune clé DKIM.
Que faire :
- Publiez un enregistrement SPF qui inclut votre hébergeur de messagerie. Les valeurs exactes pour OVH, Infomaniak, IONOS, Gandi, o2switch, Google Workspace et Microsoft 365 sont dans les pages par hébergeur liées en bas de page.
- Activez la signature DKIM chez votre hébergeur et publiez la clé qu'il fournit. Chez certains (OVH, IONOS), c'est déjà fait automatiquement ; vérifiez-le avec dig.
- Attendez la propagation : le délai annoncé par chaque hébergeur va de quelques minutes à 48 heures selon l'enregistrement.
SPF en échec franc : votre IP n'est pas dans la liste
Comment le reconnaître : Le refus indique que le SPF a échoué et que le domaine a une politique stricte (-all). C'est le cas typique d'un outil d'envoi ajouté sans l'être dans le SPF.
Que faire :
- Relevez l'adresse IP dans l'en-tête Received du message d'origine, puis cherchez à quel service elle appartient.
- Ajoutez l'include de ce service dans l'enregistrement SPF existant, avant le « all ». Un domaine ne doit avoir qu'un seul enregistrement v=spf1 : en créer un second invalide les deux.
- Surveillez la limite de dix recherches DNS du SPF si vous cumulez plusieurs services.
Politique DMARC non satisfaite
Comment le reconnaître : Le refus mentionne la politique DMARC du domaine. Elle est en quarantine ou en reject, et ni SPF ni DKIM n'est à la fois valide et aligné avec le domaine de l'adresse From.
Que faire :
- Faites signer le message en DKIM avec le domaine de l'adresse From (pas celui de l'outil d'envoi) : c'est la voie la plus fiable pour l'alignement.
- Si vous n'avez pas encore lu de rapports DMARC, repassez la politique à p=none le temps d'observer, puis durcissez par étapes.
- Les messages transférés par un tiers cassent souvent le SPF : seul un DKIM aligné survit à un transfert.
Vérifier côté DNS
Trois commandes pour voir ce que Gmail voit, puis la lecture de l'en-tête du message reçu pour confirmer le résultat réel.
Lire le SPF du domaine expéditeur
dig +short TXT votredomaine.fr
Résultat attendu : Une seule ligne qui commence par v=spf1. Aucune ligne : pas de SPF. Deux lignes v=spf1 : le SPF est invalide et échoue systématiquement.
Lire la clé DKIM (remplacez le sélecteur par celui de votre hébergeur)
dig +short TXT selecteur._domainkey.votredomaine.fr
Résultat attendu : Une clé publique (p=...). Certains hébergeurs publient un CNAME au lieu d'un TXT : dans ce cas dig affiche la cible du CNAME puis la clé.
Lire le DMARC
dig +short TXT _dmarc.votredomaine.fr
Résultat attendu : Une ligne qui commence par v=DMARC1 et contient une politique p=none, quarantine ou reject.
Confirmer dans Gmail avec un message d'essai
Gmail : ouvrir le message, menu ⋮, « Afficher l’original »
Résultat attendu : L'en-tête affiche SPF, DKIM et DMARC avec PASS ou FAIL. Envoyez l'essai depuis la boîte et l'outil exacts qui ont reçu le refus.
Contrôler tout le domaine d'un coup
Le diagnostic gratuit lit votre SPF et votre DMARC et cherche une signature DKIM, sans compte. C'est le plus rapide pour savoir si l'authentification est en cause.
Tester mon domaine maintenantÀ ne pas faire
- Passer directement à DMARC p=reject sans avoir lu de rapports : vous risquez de bloquer vos propres envois légitimes.
- Ajouter un deuxième enregistrement SPF pour un nouvel outil au lieu de modifier le premier.
- Recopier une valeur SPF trouvée sur un forum. Chaque hébergeur publie la sienne ; chez o2switch, par exemple, une autre valeur peut empêcher l'envoi.
Questions fréquentes
Que veut dire 5.7.26 chez Gmail ?
Gmail a rejeté le message parce qu'il ne passe pas l'authentification exigée : SPF ou DKIM pour tous les expéditeurs, et DMARC en plus au-delà de 5 000 messages par jour vers Gmail.
Ai-je besoin de DMARC si j’envoie peu de messages ?
Pour les envois sous 5 000 messages par jour vers Gmail, SPF ou DKIM suffit pour éviter le 5.7.26. DMARC est exigé au-delà, mais la politique peut rester à « none ». L'activer tôt évite la mauvaise surprise le jour où le volume augmente.
SPF et DKIM sont corrects, pourquoi le DMARC échoue-t-il encore ?
Parce que DMARC demande en plus l'alignement : le domaine authentifié doit correspondre au domaine de l'adresse From. Un SPF valide pour le domaine technique d'un outil d'envoi ne suffit pas.
Combien de temps faut-il attendre après avoir corrigé le DNS ?
Chaque hébergeur annonce son propre délai : par exemple jusqu'à 24 heures chez OVHcloud et jusqu'à 48 heures pour le SPF IONOS. Contrôlez avec dig que l'enregistrement est visible avant de renvoyer.
Sources officielles
Messages et correctifs relevés dans la documentation officielle le 21 octobre 2026. Les fournisseurs changent parfois leurs textes : en cas d'écart, la page officielle prime.
À lire ensuite
Configurer l'authentification chez votre hébergeur
Autres erreurs
Prospecter sans abîmer votre domaine
Fluenzr envoie depuis votre propre boîte, chauffe son historique d'envoi et surveille sa réputation.
Créer un compte gratuit