Aller au contenu principal
FR Deutsch Español Italiano Português

Consignes de Google pour les expéditeurs d'e-mails

Note

E-mails envoyés depuis Duda suivent déjà les meilleures pratiques en matière d'authentification des e-mails. Les étapes décrites dans cet article expliquent comment mettre en œuvre les meilleures pratiques d'authentification des e-mails pour vos comptes Gmail personnels. Notez que Duda ne propose ni ne prend en charge l'hébergement des e-mails.

À compter du 1er février 2024, Google impose des normes d'authentification des e-mails spécifiques pour l'envoi de messages vers des comptes Gmail personnels. Ces normes sont essentielles pour éviter que les e-mails ne soient marqués comme spam ou bloqués.

  • Tous les expéditeurs : implémentez soit le SPF (Sender Policy Framework) soit le DKIM (DomainKeys Identified Mail)

  • Expéditeurs en masse (tout expéditeur de courrier électronique qui envoie près de 5 000 messages ou plus par jour) : implémentez les protocoles SPF, DKIM et DMARC (Authentification, rapports et conformité des messages basés sur le domaine)

Les directives s'appliquent à tous les expéditeurs d'e-mails, quel que soit le fournisseur de services de messagerie que vous utilisez, tant que vous envoyez des e-mails vers des comptes personnels Gmail (comptes se terminant par @gmail .com ou @googlemail .com).

Note

Pour obtenir de l'aide concernant les informations de connexion, les paramètres ou les enregistrements TXT de votre domaine, contactez votre fournisseur de domaine.

Pourquoi l'authentification des e-mails est importante

exigences d'authentification des e-mails de Google renforcent la sécurité et empêchent les activités malveillantes telles que l'usurpation d'identité et le phishing. En mettant en œuvre ces bonnes pratiques d'authentification des e-mails, vous améliorez la délivrabilité et la fiabilité de vos e-mails sur les comptes Gmail tout en protégeant votre organisation et les destinataires contre l'usurpation d'identité et

Pour des performances de livraison d'e-mails optimales :

  1. Configurer le SPF: Assurez la distribution du courrier et empêchez l'usurpation d'identité en spécifiant des serveurs autorisés pour votre domaine.

  2. Configurer DKIM: Renforcez la sécurité des e-mails sortants en ajoutant des signatures numériques cryptées.

  3. Configurer DMARC: Enfin, renforcez la sécurité contre les faux spams avec la DMARC. La DMARC indique aux serveurs de réception ce qu'ils doivent faire avec les e-mails qui ne répondent pas aux normes SPF ou DKIM et fournit des rapports sur les activités

Assurez-vous que SPF, DKIM et DMARC sont configurés pour chacun de vos domaines d'envoi via votre fournisseur de domaine. Si vous utilisez un fournisseur de services de messagerie, vérifiez qu'il authentifie les e-mails de votre domaine avec SPF et DKIM pour éviter les problèmes de livraison

Normes d'authentification des e-mails

Vous trouverez ci-dessous les principales méthodes d'authentification que vous devez configurer pour vous conformer aux exigences de Google et renforcer la sécurité de votre messagerie :

  • SPF (Sender Policy Framework) : le SPF empêche l'usurpation d'adresse e-mail en spécifiant quels serveurs de messagerie sont autorisés à envoyer des e-mails au nom de votre domaine. Il fonctionne en publiant un enregistrement DNS répertoriant ces serveurs autorisés. Lorsqu'un e-mail est reçu, le serveur de messagerie du destinataire vérifie l'enregistrement SPF pour vérifier l'expéditeur. Pour les instructions de configuration, voir Configurer les enregistrements SPF TXT pour votre domaine.

  • DKIM (DomainKeys Identified Mail) : DKIM garantit l'authenticité et l'intégrité des e-mails en ajoutant une signature numérique à l'en-tête de l'e-mail. Ceci est réalisé à l'aide d'une paire de clés cryptographiques, l'une privée et l'autre publique. La clé privée est utilisée pour signer l'e-mail et la clé publique, publiée dans les enregistrements DNS de votre domaine, est utilisée par le serveur récepteur pour vérifier la signature. Pour les instructions de configuration, voir Configurer les enregistrements DKIM TXT pour votre domaine.

  • DMARC (Domain-based Message Authentication, Reporting, and Conformance) : La DMARC s'appuie sur SPF et DKIM en fournissant des instructions aux serveurs de réception sur la manière de gérer les e-mails qui échouent à ces vérifications. Il publie une politique dans le DNS qui indique aux serveurs de messagerie récepteurs ce qu'ils doivent faire avec les e-mails qui échouent à la vérification SPF ou DKIM, par exemple en les rejetant ou en les mettant en quarantaine. La DMARC fournit également un mécanisme de réception de rapports sur l'activité d'authentification des e-mails que vous pouvez utiliser pour surveiller les e-mails envoyés depuis votre domaine et identifier les expéditeurs susceptibles de se faire passer pour votre domaine. Pour les instructions de configuration, voir Configurer les enregistrements DMARC TXT pour votre domaine.

Configurer les enregistrements SPF TXT pour votre domaine

Sender Policy Framework (SPF) est un protocole d'authentification des e-mails conçu pour empêcher l'usurpation des e-mails et les attaques de phishing en spécifiant quels serveurs de messagerie sont autorisés à envoyer des e-mails au nom de votre domaine. En configurant un enregistrement SPF, vous aidez les serveurs destinataires à vérifier que les e-mails prétendant provenir de votre domaine sont bien envoyés depuis des serveurs autorisés. Si un e-mail est envoyé depuis un serveur non autorisé, il peut être marqué comme spam ou rejeté.

Note

Pour obtenir de l'aide concernant les informations de connexion, les paramètres ou les enregistrements TXT de votre domaine, contactez votre fournisseur de domaine.

Avant de configurer le SPF, assurez-vous d'avoir :

  • Accès au fournisseur de domaine: informations d'identification pour vous connecter à la console de gestion de votre fournisseur de domaine. Le SPF est configuré chez votre fournisseur d'hébergement de domaine, et non dans votre console d'administration Google

  • (Facultatif) Enregistrement SPF existant: Vérifiez si un enregistrement SPF est déjà configuré.

  • Informations sur le serveur de messagerie: liste des adresses IP ou des domaines de tous les serveurs de messagerie qui envoient des e-mails au nom de votre domaine.

Pour configurer le SPF :

  1. Connectez-vous à la console de gestion de votre fournisseur de domaine : Connectez-vous à la console de gestion fournie par votre fournisseur de domaine (par exemple GoDaddy). Localisez la page ou le tableau de bord dédié à la mise à jour des enregistrements DNS TXT pour votre domaine.

  2. Vérifier l'enregistrement SPF existant: Vous avez peut-être déjà configuré un enregistrement TXT pour SPF auprès de votre fournisseur de domaine. Vérifiez si un enregistrement SPF existe déjà à l'aide du Boîte à outils d'administration Google:

    • Entrez votre nom de domaine et cliquez sur Lancez Checks !.

    • Après le test, cliquez sur Plages d'adresses SPF efficaces.

    • Passez en revue les résultats des entrées SPF existantes, telles que :

      • _spf.google.com

      • _netblocks.google.comsuivi de plusieurs adresses IP

      • _netblocks2.google.comsuivi de plusieurs adresses IP

      • _netblocks3.google.comsuivi de plusieurs adresses IP

        Note

        Les résultats contiennent un résumé contenant des indicateurs indiquant si le flux de messagerie est :

        • fonctionne correctement et aucune action n'est nécessaire,

        • fonctionne mais indique les problèmes qui doivent être résolus, ou

        • doit être configuré.

  3. Définissez votre record SPF: Pour définir votre enregistrement SPF, vous devez créer un enregistrement TXT. Une fois connecté à la console de gestion de votre domaine, recherchez la page sur laquelle vous pouvez mettre à jour les enregistrements TXT de votre domaine. N'oubliez pas qu'un seul domaine ne peut avoir qu'un seul enregistrement TXT pour SPF.

    • Record SPF: si vous utilisez Google Workspace uniquement. Si tous les e-mails de votre organisation sont envoyés via Google Workspace uniquement, copiez cette ligne de texte pour votre enregistrement SPF :

      v=spf1 include:_spf.google.com ~all

    • Enregistrement SPF : si vous utilisez Google Workspace et d'autres expéditeurs. Si vous envoyez du courrier par d'autres moyens que Google Workspace, vous devez créer un enregistrement TXT personnalisé pour SPF afin d'autoriser ces expéditeurs. Votre enregistrement SPF doit inclure une référence à Google Workspace et à tous les serveurs qui envoient des e-mails pour votre organisation ou votre domaine. Il peut s'agir de services qui envoient des e-mails automatiques, par exemple des formulaires « Contactez-nous », et de tout fournisseur ou service tiers qui envoie des e-mails pour votre domaine.

      Pour créer un enregistrement TXT personnalisé pour votre enregistrement SPF, y compris une référence à Google Workspace et aux autres expéditeurs que vous utilisez :

      (Notez que les adresses IP et les noms de domaine utilisés dans les étapes suivantes sont des exemples. Remplacez-les par des adresses IP et des domaines pour vos expéditeurs. Un enregistrement normal comportera un mélange d'éléments.)

      1. Commencez par l'enregistrement SPF pour Google Workplace :

        v=spf1 include:_spf.google.com ~all

      2. Ajouter des adresses IP autorisées : répertoriez les adresses IP uniques (par exemple, 198.51.100.1 et 2001:db 8:1:1:1:1:1:1) ou les sous-réseaux IP (par exemple, 198.51.100.0/24 et 2001:db 8:1:1 : :/64) autorisés à envoyer des e-mails. Utilisez le ip4: balise pour les adresses IPv4 et le ip6: tag pour les adresses IPv6. Par exemple :

        v=spf1 ip4:198.51.100.0/24 ip6:2001:db8:1:1:1:1:1:1 include:_spf.google.com ~all

      3. Inclure des services tiers : si d'autres services envoient des e-mails en votre nom, utilisez le include: balise pour inclure un autre domaine ou sous-domaine. Par exemple :

        v=spf1 ip4:198.51.100.0/24 ip6:2001:db8:1:1:1:1:1:1 include:thirdpartydomain.com include:_spf.google.com ~all

      4. Spécifiez les serveurs de messagerie : si d'autres serveurs de messagerie envoient des e-mails en votre nom, utilisez a: étiquette. Par exemple :

        v=spf1 a:mail.exampledomain.com ip4:198.51.100.0/24 ip6:2001:db8:1:1:1:1:1:1 include:thirdpartydomain.com include:_spf.google.com ~all

      5. Spécifiez la politique pour les serveurs non autorisés : Terminez par ~all pour définir la manière dont les e-mails provenant de serveurs non autorisés doivent être traités. Par exemple, comme indiqué dans l'enregistrement SPF utilisé pour Google Workspace

        v=spf1 a:mail.exampledomain.com ip4:198.51.100.0/24 ip6:2001:db8:1:1:1:1:1:1 include:thirdpartydomain.com include:_spf.google.com ~all

      Commencer par un échec progressif (~all) est recommandé pour surveiller et ajuster votre enregistrement SPF sans perturber la distribution des e-mails, en veillant à ce que toutes les sources d'e-mail légitimes soient correctement autorisées avant d'appliquer un échec matériel strict (-all). En utilisant ~all est généralement efficace, car il marque les messages non correspondants comme du courrier indésirable.

      • ~all (échec logiciel) : les e-mails provenant de serveurs non répertoriés sont acceptés mais marqués comme suspects.

      • -all (échec brutal) : les e-mails provenant de serveurs non répertoriés sont purement et simplement rejetés.

    Exemple d'enregistrement SPF

    Descriptif

    v=spf1 ip4:198.51.100.0/24 include:_spf.google.com ~all

    Autorise les e-mails provenant de :

    • Serveurs dont les adresses IP sont comprises entre 198,51,100,0 et 198,51,100,255

    • Espace de travail Google

    Cet enregistrement autorise les e-mails provenant d'une plage d'adresses IPv4 spécifique et de Google Workspace, en marquant les sources non répertoriées comme suspectes.

    v=spf1 ip4:198.51.100.0/24 include:_spf.google.com include:thirdpartydomain.com ~all

    Autorise les e-mails provenant de :

    • Serveurs dont les adresses IP sont comprises entre 198,51,100,0 et 198,51,100,255

    • Espace de travail Google

    • Service de messagerie tiers Thirdpartydomain

    Cet enregistrement autorise les e-mails provenant d'une plage d'adresses IPv4 spécifique, de Google Workspace et d'un service tiers supplémentaire, en marquant les personnes non répertoriées comme suspectes.

    v=spf1 ip6:2001:db8::/32 include:_spf.google.com ~all

    Autorise les e-mails provenant de :

    • Serveurs dont les adresses IP sont comprises entre 2001 : db 8:0000:0000:0000:0000:0000:0000:0000 et 2001:db8:ffff:ffff:ffff:ffff:ffff:ffff

    • Espace de travail Google

    Cet enregistrement autorise les e-mails provenant d'une large plage d'adresses IPv6 et de Google Workspace, en marquant les sources non répertoriées comme suspectes.

    v=spf1 a:mail.exampledomain.com ip4:198.51.100.0/24 ip6:2001:db8::/32 include:_spf.google.com ~all

    Autorise les e-mails provenant de :

    • Serveur de messagerie mail.exampledomain.com

    • Serveurs dont les adresses IP sont comprises entre 198,51,100,0 et 198,51,100,255

    • Serveurs dont les adresses IP sont comprises entre 2001 : db 8:0000:0000:0000:0000:0000:0000:0000 et 2001:db8:ffff:ffff:ffff:ffff:ffff:ffff

    • Espace de travail Google

    Cet enregistrement couvre à la fois les plages IPv4 et IPv6, Google Workspace et un serveur de messagerie spécifique, en marquant les autres comme suspects.

  4. Ajouter un enregistrement SPF : Pour activer le SPF pour votre domaine, ajoutez votre enregistrement SPF dans la console de gestion de votre fournisseur de domaine :

    1. Connectez-vous à la console de gestion de votre fournisseur de domaine : connectez-vous à la console de gestion fournie par votre fournisseur de domaine. Localisez la page ou le tableau de bord dédié à la mise à jour des enregistrements DNS TXT pour votre domaine.

    2. Entrez les valeurs suivantes :

      Nom du champ

      Valeur à saisir

      Tapez

      TXT

      Hôte

      • Pour le domaine racine : @

      • Lors de la configuration d'un enregistrement SPF, utilisez @ dans le champ Hôte de votre domaine racine et consolidez tous les éléments (par exemple, include :, ip4 :, ip6 :, a :) dans un seul enregistrement TXT, car un domaine ne peut avoir qu'un seul enregistrement SPF TXT.

      Valeur

      • Si vous utilisez uniquement Google Workspace, saisissez : v=spf1 include:_spf.google.com ~all

      • • Si vous utilisez d'autres expéditeurs d'e-mails, saisissez l'enregistrement SPF que vous avez créé.

      Time to Live (TTL)

      1 heure ou 3 600 secondes

Résoudre les problèmes liés au SPF

Note

Pour obtenir de l'aide concernant les informations de connexion, les paramètres ou les enregistrements TXT de votre domaine, contactez votre fournisseur de domaine.

Si vous avez configuré SPF (Sender Policy Framework) mais que vous rencontrez des problèmes tels que l'échec de l'authentification SPF, le rejet d'e-mails ou l'arrivée de messages dans des dossiers de courrier indésirable, procédez comme suit pour résoudre les problèmes :

  1. Vérifier la configuration de l'enregistrement SPF

    • Vérifier l'enregistrement SPF existant: utilisez un outil tel que Boîte à outils MX ou l'interface de gestion DNS de votre domaine pour confirmer l'existence d'un enregistrement SPF pour votre domaine.

    • Définir et ajouter un enregistrement SPF: Assurez-vous que votre enregistrement SPF est correctement formaté et inclut tous les serveurs de messagerie concernés. Par exemple, un enregistrement SPF peut ressembler à v=spf1 ip4:192.168.0.1 include:_spf.example.com -all.

  2. Vérifiez les résultats de l'authentification SPF

    • En-têtes de courrier électronique: Dans Gmail, ouvrez un e-mail, cliquez sur les trois points en haut à droite, puis sélectionnez « Afficher l'original » pour afficher les résultats SPF dans la section « Résultats d'authentification ».

    • Boîte à outils d'administration Google: copiez les en-têtes des e-mails et utilisez l'outil Google Admin Toolbox Messageheader pour analyser les résultats SPF.

  3. Assurez-vous que tous les expéditeurs sont inclus dans l'enregistrement SPF

    • Passez en revue les entrées SPF: assurez-vous que tous les serveurs et services de messagerie qui envoient des e-mails pour votre domaine sont inclus. Cela inclut les fournisseurs de messagerie tiers et les formulaires de sites Web.

    • Mettre à jour l'enregistrement SPF: ajoutez les adresses IP ou les domaines manquants à votre enregistrement SPF. Par exemple, si vous utilisez un service de marketing par e-mail, assurez-vous que ses adresses IP d'envoi ou incluez des mécanismes sont ajoutées à votre dossier.

  4. Problèmes de transfert d'adresses et d'e-mails

    • Vérifiez les détails du transfert : Utilisez la recherche dans le journal des e-mails pour vérifier si les e-mails transférés échouent au SPF. Recherchez l'adresse du destinataire d'origine pour confirmer s'il s'agit d'un transfert.

    • Contactez le service de transfert: contactez le service de transfert tiers pour vérifier s'il peut ajuster sa méthode de transfert ou fournir des informations sur les problèmes liés au SPF.

  5. Résolution des problèmes SPF avancés

    • Analysez les en-têtes des messages : consultez la section « Résultats d'authentification » pour les résultats SPF tels que « softfail », « échec » ou « neutre » et adressez-vous en fonction du résultat. Par exemple :

      • Aucune entrée SPF: Assurez-vous que votre enregistrement SPF est correctement configuré.

      • Softfail ou Fail: vérifiez que toutes les adresses IP d'envoi légitimes sont incluses dans votre enregistrement SPF.

      • TempError ou PermError: vérifiez s'il y a des problèmes de DNS ou un dépassement de la limite de 10 recherches.

  6. Vérifiez le DNS Recherches

    • Surveillez le nombre de recherches : Les enregistrements SPF sont limités à 10 recherches DNS. Votre enregistrement SPF TXT ne peut donc pas inclure plus de 10 références à d'autres domaines. Chacun de ces mécanismes, y compris les recherches imbriquées, dans votre enregistrement SPF entraînea, mx, include, ptr. Utilisez des outils tels que Check MX de la boîte à outils d'administration Google pour surveiller le nombre de recherches et ajuster votre enregistrement SPF afin d'éviter de dépasser cette limite.

Configurer les enregistrements DKIM TXT pour votre domaine

Le DKIM, ou DomainKeys Identified Mail, est une méthode essentielle d'authentification des e-mails qui permet de protéger votre domaine contre l'usurpation d'identité et d'empêcher que les messages sortants ne soient considérés comme du courrier indésirable. L'usurpation d'identité est une pratique de courrier électronique trompeuse qui falsifie l'adresse de l'expéditeur pour donner l'impression qu'elle provient d'une organisation ou d'un domaine légitime. Le DKIM joue un rôle crucial en détectant toute modification non autorisée du contenu des messages, y compris les modifications apportées à l'adresse From. Sans DKIM, les e-mails envoyés depuis votre domaine sont plus susceptibles d'être considérés comme du spam par les serveurs de réception. Pour garantir la fiabilité de vos messages, en particulier pour les utilisateurs de Gmail, il est recommandé de configurer l'authentification DKIM avec SPF (Sender Policy Framework) pour votre domaine. Cela permet de respecter les directives de Google relatives aux expéditeurs d'e-mails et améliore l'authentification des e-mails de votre organisation.

Note

Pour obtenir de l'aide concernant les informations de connexion, les paramètres ou les enregistrements TXT de votre domaine, contactez votre fournisseur de domaine.

Avant de configurer DKIM, assurez-vous de disposer des éléments suivants :

  • Accès administrateur à Google: informations d'identification pour vous connecter à votre console d'administration Google. Vous obtiendrez votre clé DKIM depuis votre console d'administration Google

  • Accès au fournisseur de domaine: informations d'identification pour vous connecter à la console de gestion de votre fournisseur de domaine. Vous allez ajouter les informations relatives à la clé DKIM depuis votre console d'administration Google aux paramètres de votre fournisseur de domaine

  • Paramètres des passerelles sortantes configurés pour ne pas modifier les e-mails après leur envoi: Vérifiez que les paramètres de votre passerelle de messagerie sortante n'interfèrent pas avec le bon fonctionnement de l'authentification DKIM pour les messages sortants, car des modifications telles que l'ajout de pieds de page ou la réécriture de contenu après l'envoi du message peuvent entraîner l'échec de la vérification DKIM du courrier électronique.

    • Configurez la passerelle de manière à ne pas modifier les messages sortants ou configurez-la pour modifier d'abord le contenu du message, puis ajoutez la signature DKIM.

  • Clé DKIM existante (Facultatif): recherchez une clé DKIM existante pour votre domaine.

Pour configurer DKIM :

  1. Connectez-vous à votre console d'administration Google: Accédez à votre console d'administration Google. Vous devez être connecté en tant que super administrateur pour obtenir votre clé DKIM

  2. Vérifiez la clé DKIM existante: si vous utilisez déjà une clé DKIM pour votre domaine, il se peut que ce soit avec Google Workspace ou avec un autre système de messagerie.

    1. Dans la console d'administration Google, accédez à Menu et sélectionnez Apps, sélectionnez Espace de travail Google, et cliquez Gmail.

    2. Cliquez Authentifier l'e-mail et sélectionnez le domaine que vous souhaitez enregistrer dans Domaine sélectionné menu.

    3. Localisez le Nom d'hôte DNS (nom d'enregistrement TXT) rubrique :

      • Si vous n'avez jamais configuré DKIM dans Google Workspace, ce champ sera vide.

      • Si ce champ a une valeur, notez le texte qui précède ._domainkey. Il s'agit du préfixe de votre sélecteur

    4. Accédez au Boîte à outils d'administration Google et saisissez votre nom de domaine dans le champ Nom de domaine.

    5. Cliquez sur le Lancez Checks ! bouton et attendez la fin du test.

    6. Une fois le test terminé, vérifiez lequel de ces messages s'affiche :

      • Configuration du DNS d'authentification DKIM : une clé DKIM est configurée pour le domaine et le sélecteur.

      • DKIM n'est pas configuré : aucune clé DKIM n'existe pour votre domaine avec le sélecteur de préfixe saisi. Pour résoudre ce problème, configurez une nouvelle touche à l'aide du sélecteur fourni (le sélecteur par défaut google).

  3. Générer une clé DKIM :

    1. Dans la console d'administration Google, accédez à Menu et sélectionnez Apps, sélectionnez Espace de travail Google, et cliquez sur Gmail.

    2. Cliquez Authentifier l'e-mail et sélectionnez le domaine pour lequel vous souhaitez configurer le DKIM dans le menu Domaine sélectionné.

    3. Cliquez sur leGénérer un nouvel enregistrementbouton.

    4. Sélectionnez les paramètres de votre clé DKIM :

      Réglage

      Options

      Longueur de bit de clé DKIM

      2048. Si votre fournisseur de domaine prend en charge les clés de 2 048 bits, sélectionnez cette option. Les clés plus longues sont plus sûres que les clés plus courtes. 1024. Si votre hôte de domaine ne prend pas en charge les clés de 2 048 bits, sélectionnez cette option

      1024. Si votre hôte de domaine ne prend pas en charge les clés de 2 048 bits, sélectionnez cette option

      Sélecteur de préfixe

      Le préfixe du sélecteur par défaut est Google. Nous vous recommandons d'utiliser la valeur par défaut. Mais si votre domaine utilise déjà une clé DKIM avec le préfixe google, entrez un autre

    5. Cliquez sur Générer et copiez les valeurs DKIM affichées dans la fenêtre Authentifier le courrier électronique :

      • Nom d'hôte DNS (nom d'enregistrement TXT) : ce texte est le nom de l'enregistrement DKIM TXT que vous ajouterez aux enregistrements DNS de votre fournisseur de domaine.

      • Valeur d'enregistrement TXT : ce texte est la clé DKIM que vous allez ajouter à votre enregistrement DKIM TXT.

  4. Ajouter une clé DKIM : Notez qu'après avoir ajouté une clé DKIM, l'authentification DKIM peut prendre jusqu'à 48 heures pour commencer à fonctionner.

    1. Connectez-vous à la console de gestion de votre fournisseur de domaine : connectez-vous à la console de gestion fournie par votre fournisseur de domaine. Localisez la page ou le tableau de bord dédié à la mise à jour des enregistrements DNS TXT pour votre domaine.

    2. Ajouter un nouvel enregistrement TXT pour DKIM : entrez les valeurs suivantes, puis enregistrez vos modifications.

      Nom du champ

      Valeur à saisir

      Nom de l'enregistrement TXT (dans le premier champ, sous le nom d'hôte DNS)

      Entrez le Nom d'hôte DNS (nom d'enregistrement TXT) affiché dans la console d'administration Google.

      Valeur d'enregistrement TXT (dans le deuxième champ)

      Entrez le Valeur d'enregistrement TXT (touche DKIM) affiché dans la console d'administration Google.

  5. Activez la signature DKIM : Notez que la page d'authentification des e-mails de votre console d'administration Google peut continuer à afficher ce message pendant 48 heures au maximum : « Vous devez mettre à jour les enregistrements DNS de ce domaine. Si vous avez correctement ajouté votre clé DKIM auprès de votre fournisseur de domaine, vous pouvez ignorer le message. »

    1. Dans la console d'administration Google, accédez à Menu et sélectionnez Apps, sélectionnez Espace de travail Google, et cliquez sur Gmail.

    2. Cliquez Authentifier l'e-mail et sélectionnez le domaine dans lequel vous souhaitez configurer le DKIM dans Domaine sélectionné menu.

    3. Cliquez sur le Démarrer l'authentification bouton.

  6. Vérifiez l'authentification DKIM :

    1. Envoyez un e-mail à une personne qui utilise Gmail ou Google Workspace. (Vous ne pouvez pas vérifier que le DKIM est activé en vous envoyant un message de test.

    2. Ouvrez le message dans la boîte de réception du destinataire et recherchez l'intégralité de l'en-tête du message. (Les étapes pour afficher l'en-tête du message diffèrent selon les applications de messagerie. Pour afficher les en-têtes des messages dans Gmail, à côté de Répondre, cliquez sur Plus (Afficher l'original).

    3. Dans l'en-tête du message, recherchez Authentication-Results. Les services de réception utilisent différents formats pour les en-têtes des messages entrants, mais les résultats DKIM devraient indiquer quelque chose commeDKIM = passeouDKIM = OK. Si l'en-tête du message ne contient pas de ligne concernant le DKIM, cela signifie que les messages envoyés depuis votre domaine ne sont pas signés avec DKIM

Résoudre les problèmes liés au DKIM

Note

Pour obtenir de l'aide concernant les informations de connexion, les paramètres ou les enregistrements TXT de votre domaine, contactez votre fournisseur de domaine.

Si les e-mails de votre domaine ne passent pas l'authentification DKIM ou sont rejetés ou marqués comme spam, procédez comme suit pour résoudre les problèmes DKIM :

  1. Vérifier la configuration DKIM

    1. Obtenir la clé DKIM : dans votre console d'administration, procurez-vous la clé DKIM requise pour votre domaine.

    2. Ajouter une clé DKIM : ajoutez la clé DKIM sous forme d'enregistrement TXT dans les paramètres DNS de votre fournisseur de domaine. Assurez-vous que la clé est correctement saisie et complète.

    3. Activez DKIM : dans la console d'administration, activez la signature DKIM pour votre domaine.

  2. Vérifiez les résultats de l'authentification DKIM

    1. Vérifier les messages : envoyez un e-mail de test à un compte de messagerie personnel (Gmail, par exemple) pour éliminer tout problème avec des serveurs de réception spécifiques.

    2. Vérifiez les en-têtes des e-mails : dans Gmail, cliquez sur « Afficher l'original » pour afficher le statut DKIM sous l'en-tête « Résultats d'authentification ».

    3. Utilisez Google Admin Toolbox : analysez les en-têtes des messages à l'aide du Outil d'en-tête de message Google Admin Toolbox pour vérifier les résultats DKIM.

  3. Confirmez l'intégrité de la clé DKIM

    1. Vérifiez l'enregistrement DKIM TXT : assurez-vous que votre enregistrement DKIM TXT n'est pas tronqué et qu'il est correctement formaté. Les clés DKIM de plus de 255 caractères peuvent être divisées en plusieurs enregistrements TXT

    2. Comparez les enregistrements : utilisez l'outil Google Admin Toolbox Dig pour vérifier que la valeur de l'enregistrement TXT correspond à la clé de votre console d'administration. Entrez votre enregistrement DKIM (par exemple, google. _domainkey) suivi de votre domaine pour comparer les résultats

  4. Problèmes de transfert de messages d'adresse

    1. Vérifiez les modifications : vérifiez l'en-tête « Authentication-Results » pour détecter tout message « Body Hash n'a pas été vérifié », indiquant que l'e-mail a été modifié lors du transfert.

    2. Passerelles sortantes : assurez-vous que les passerelles sortantes ne modifient pas le contenu des messages sortants, car cela peut entraîner des défaillances DKIM.

    3. Vérifier le transfert : utilisez la fonction de recherche dans le journal des e-mails pour vérifier si les messages transférés sont à l'origine de problèmes DKIM. Contactez le service de réexpédition si nécessaire

  5. Contacter les administrateurs pour les messages signés DKIM rejetés

    1. Contact : si le DKIM est correctement configuré mais que les messages sont toujours rejetés ou envoyés en tant que courrier indésirable, contactez l'administrateur du serveur de messagerie ayant rejeté le message pour obtenir de l'aide.

  6. Vérifiez les limites de caractères d'enregistrement TXT

    • Limites de révision : assurez-vous que vos enregistrements DKIM TXT respectent les limites de caractères de votre fournisseur de domaine. La plupart des enregistrements TXT peuvent contenir jusqu'à 255 caractères. Pour les enregistrements TXT contenant plus de 255 caractères, le DNS ajoute plusieurs chaînes dans un seul enregistrement.

      Si vous utilisez une clé DKIM de 2 048 bits, vous ne pouvez pas la saisir sous forme de chaîne de texte unique dans un enregistrement DNS avec une limite de 255 caractères. Procédez plutôt comme suit :

      1. Divisez les caractères clés en plusieurs chaînes de texte.

      2. Mettez chaque chaîne entre guillemets.

      3. Entrez les chaînes l'une après l'autre dans le champ Valeur de l'enregistrement TXT auprès de votre fournisseur de domaine.

Configurer les enregistrements DMARC TXT pour votre domaine

L'authentification, les rapports et la conformité des messages basés sur le domaine (DMARC) est un protocole d'authentification des e-mails qui s'appuie sur le SPF (Sender Policy Framework) et le DKIM (DomainKeys Identified Mail) pour empêcher l'usurpation d'adresse e-mail et les attaques de phishing. Grâce à la DMARC, les propriétaires de domaines peuvent indiquer aux serveurs de messagerie récepteurs comment gérer les e-mails qui échouent aux contrôles SPF et

Les principaux composants de la DMARC sont les suivants :

  • Politique (p) : Spécifie l'action à effectuer lorsqu'un e-mail échoue aux contrôles d'authentification. Les options politiques sont les suivantes aucun (écran uniquement), quarantaine (marquer comme spam), ou rejeter (ne pas livrer).

  • Rapports (rua=mailto :): Spécifie où les rapports DMARC doivent être envoyés. Ces rapports fournissent des informations détaillées sur les e-mails qui réussissent et échouent aux contrôles d'authentification.

Avant de configurer le DMARC, assurez-vous de disposer des éléments suivants :

  • Accès au fournisseur de domaine : Informations d'identification pour vous connecter à la console de gestion de votre fournisseur de domaine. Le DMARC est activé chez votre fournisseur d'hébergement de domaine, et non dans votre console d'administration Google

  • SPF et DKIM sont déjà configurés : Avant de mettre en œuvre le DMARC, assurez-vous que Sender Policy Framework (SPF) et DomainKeys Identified Mail (DKIM) sont activés pour votre domaine. Cette authentification est essentielle pour la fonctionnalité DMARC, car elle indique aux serveurs de messagerie récepteurs ce qu'ils doivent faire lorsqu'ils reçoivent un message qui semble provenir de votre organisation, mais que le message ne passe pas les contrôles d'authentification des e-mails SPF et/ou DKIM

    Avertissement

    • Si vous ne configurez pas SPF et DKIM avant d'activer le DMARC, les messages envoyés depuis votre domaine rencontreront probablement des problèmes de livraison.

    • Attendez 48 heures après avoir configuré le SPF et le DKIM avant de configurer le DMARC.

  • (Facultatif) Enregistrement DMARC existant : Vérifiez s'il existe un enregistrement DMARC pour votre domaine.

  • Authentification des courriers électroniques: Assurez-vous que les messages envoyés par des fournisseurs tiers sont authentifiés conformément aux politiques de la DMARC. Pour améliorer l'authentification des messages envoyés par des fournisseurs tiers, procédez comme suit :

    • Vérifiez auprès de votre fournisseur tiers que le DKIM est correctement configuré.

    • Assurez-vous que le domaine d'expéditeur de l'enveloppe utilisé par le fournisseur correspond à votre domaine.

    • Ajoutez les adresses IP des serveurs de messagerie d'envoi du fournisseur à l'enregistrement SPF de votre domaine.

Configurer le DMARC

Pour configurer le DMARC :

  1. Connectez-vous à la console de gestion de votre fournisseur de domaine : Accédez à la plateforme de votre fournisseur de domaine et accédez à la section de gestion des enregistrements DNS TXT.

  2. Vérifier l'enregistrement DMARC existant: Avant de configurer le DMARC, vérifiez si votre domaine possède déjà un enregistrement DMARC DNS TXT. Le cas échéant, consultez les rapports DMARC pour confirmer la réussite de l'authentification et de la livraison des messages. Pour vérifier auprès de votre fournisseur de domaine s'il existe un enregistrement TXT pour le DMARC

    1. Connectez-vous à la console de gestion fournie par votre fournisseur de domaine.

    2. Localisez la page ou le tableau de bord dédié à la mise à jour des enregistrements DNS TXT pour votre domaine.

    3. Passez en revue les enregistrements DNS TXT associés à votre domaine. Si un enregistrement DMARC existe, il commence généralement par v=DMARC.

  3. Définissez votre enregistrement DMARC: Pour définir votre enregistrement DMARC, vous devez créer un enregistrement TXT qui définit la rigueur avec laquelle le DMARC doit vérifier les messages et les actions recommandées pour les serveurs de réception.

    Lorsque vous commencez à mettre en œuvre la DMARC, nous vous suggérons de commencer par une politique d'application assouplie définie sur « aucune ». « Au fur et à mesure que vous comprendrez comment les messages provenant de votre domaine sont authentifiés par les serveurs de réception, ajustez progressivement votre politique, passant de « aucun » à « quarantaine », puis à « rejeter ».

    L'enregistrement DMARC se présente sous la forme d'une ligne de texte brut composée d'une liste de valeurs de balises DMARC, séparées par des points-virgules. Certaines balises sont obligatoires et d'autres sont facultatives. Exemple : v=DMarc1 ; p=rejeter ; rua=mailto : mailbox@example.com, mailto : dmarc@example.com ; pct=10 ; adkim=r ; aspf=r

    Balise

    Obligatoire ?

    Descriptif

    Valeurs

    v

    Require

    Spécifie la version DMARC.

    Doit être DMARC 1.

    p

    Nécessaire

    Indique au serveur de messagerie destinataire les actions à effectuer pour les messages dont l'authentification échoue.

    none — N'agissez pas, transmettez le message et enregistrez-le. Les rapports sont envoyés à l'adresse e-mail spécifiée dans le tag rua.

    quarantine — Marquez le message comme courrier indésirable et envoyez-le dans le dossier des courriers indésirables. Les bénéficiaires peuvent le consulter pour en vérifier la légitimité.

    reject — Rejetez le message et envoyez généralement un message de rebond à l'expéditeur.

    pct

    Nécessaire

    Définit le pourcentage de messages soumis à la politique DMARC.

    Doit être un nombre entier de1à100. Si elle n'est pas spécifiée, la politique s'applique à 100 % des messages.

    rua

    Facultatif

    Recevez des rapports DMARC envoyés à une adresse e-mail. L'adresse e-mail doit incluremailto :.

    Pour envoyer des rapports DMARC à plusieurs adresses e-mail, séparez chaque adresse e-mail par une virgule et ajoutez le préfixe mailto : avant chaque adresse.

    Exemple : mailto : dmarc-reports@example.com, mailto : dmarc-admin@example.com (remplacez example.com par votre domaine).

    sp

    Facultatif

    Définit la politique pour les sous-domaines de votre domaine principal.

    none — N'agissez pas, transmettez le message et enregistrez-le. Les rapports sont envoyés à l'adresse e-mail spécifiée dans le tag rua.

    quarantine — Marquez le message comme courrier indésirable et envoyez-le dans le dossier des courriers indésirables. Les bénéficiaires peuvent le consulter pour en vérifier la légitimité.

    reject — Rejetez le message et envoyez généralement un message de rebond à l'expéditeur.

    S'il n'est pas spécifié, les sous-domaines héritent de la politique du domaine parent.

    adkim

    Facultatif

    Spécifie la politique d'alignement pour DKIM, en indiquant dans quelle mesure le domaine de l'expéditeur doit correspondre à d=domainname en signatures DKIM.

    S — Alignement strict. Le nom de domaine de l'expéditeur doit correspondre exactement au d=domainname correspondant dans les en-têtes de courrier DKIM

    R : alignement détendu (par défaut). Permet des correspondances partielles. Tout sous-domaine valide de d=domain dans les en-têtes de courrier DKIM est

    adspf

    Facultatif

    Spécifie la politique d'alignement pour SPF, en indiquant dans quelle mesure le domaine de l'expéditeur doit correspondre au domaine dans la commande SMTP MAIL FROM.

    S — Alignement strict. Le domaine de l'expéditeur doit correspondre exactement au domaine indiqué dans la commande SMTP MAIL FROM

    R : alignement détendu (par défaut). Permet des correspondances partielles. Tout sous-domaine valide du nom de domaine est accepté

  4. Ajouter un enregistrement DMARC : Notez que DKIM et SPF doivent authentifier les messages pendant au moins 48 heures avant d'activer le DMARC.

    1. Connectez-vous à la console de gestion de votre fournisseur de domaine: connectez-vous à la console de gestion fournie par votre fournisseur de domaine. Localisez la page ou le tableau de bord dédié à la mise à jour des enregistrements DNS TXT pour votre domaine.

    2. Ajoutez un nouvel enregistrement TXT pour DMARC. Entrez les valeurs suivantes, puis enregistrez vos modifications.

      Nom du champ

      Valeur à saisir

      Nom de l'enregistrement TXT (dans le premier champ, sous le nom d'hôte DNS)

      Entrez _dmarc.exampledomain.com (remplacer exampledomain.com avec votre domaine)

      Valeur d'enregistrement TXT (dans le deuxième champ)

      Entrez le texte de votre politique DMARC.

      Par exemple, entrez v=DMARC1; p=none; rua=mailto:dmarc-reports@exampledomain.com (remplacer exampledomain.com avec votre domaine).

  5. Étendre aux sous-domaines et aux domaines supplémentaires (le cas échéant). Si vous possédez plusieurs domaines ou sous-domaines, chaque domaine peut donc avoir une politique différente et des options de rapport différentes (définies dans l'enregistrement). Pour définir une politique DMARC pour les sous-domaines, utilisez la balise sp policy dans l'enregistrement DMARC du domaine parent. Si vous ne créez pas de politiques DMARC pour les sous-domaines, ceux-ci héritent de la politique DMARC du domaine parent

Surveiller les rapports DMARC

Surveillez régulièrement les rapports sur l'activité de la DMARC pour votre domaine. Ces rapports, envoyés à l'adresse e-mail spécifiée dans la politique DMARC (rua tag), fournissent des informations sur l'activité du serveur de messagerie. Ajustez votre politique DMARC si nécessaire en fonction de ces rapports

Consultez les rapports pour découvrir :

  • Quels serveurs ou expéditeurs tiers envoient du courrier pour votre domaine

  • Quel est le pourcentage de messages provenant de votre domaine qui passent le DMARC ?

Recherchez toutes les tendances en matière de problèmes, telles que :

  • Messages valides marqués comme spam

  • Messages de rebond ou d'erreur de la part des destinataires

Mettre en quarantaine un petit pourcentage de messages

premier temps, commencez par une politique DMARC assouplie avec une application définie sur aucune. Cela vous permet de commencer à recevoir des rapports sans risquer que les messages de votre domaine soient rejetés ou marqués comme spam par les serveurs de réception. Après avoir observé les rapports de la DMARC pendant au moins une semaine, ajustez votre politique de « quarantaine » et ajoutez le tag PCT pour appliquer la politique à un petit pourcentage de votre courrier

Pour mettre en quarantaine un petit pourcentage de messages :

  1. Connectez-vous à la console de gestion fournie par votre fournisseur d'hébergement de domaine pour mettre à jour l'enregistrement DMARC DNS TXT.

  2. Ajoutez une politique qui affecte un faible pourcentage de messages et applique la quarantaine. Par exemple, une politique qui ne s'applique qu'à 5 % des e-mails entrants et qui redirige les messages qui n'ont pas été vérifiés par la DMARC vers les dossiers de courrier indésirable des destinataires

    v=DMARC1; p=quarantine; pct=5; rua=mailto:dmarc-reports@exampledomain.com

Astuce

Les grandes entreprises devraient augmenter progressivement le pourcentage de messages concernés afin de minimiser le risque de rejet ou de marquage indésirable. Par exemple, une petite organisation peut commencer par mettre 10 % en quarantaine, tandis qu'une grande entreprise peut commencer par 1

Résoudre les problèmes liés à la DMARC

Si les e-mails provenant de votre domaine échouent à l'authentification DMARC, sont rejetés par les serveurs de réception ou atterrissent dans les dossiers de courrier indésirable des destinataires, procédez comme suit pour dépanner et résoudre les problèmes DMARC :

  1. Vérifier l'enregistrement DMARC

    • Vérifiez la configuration : Assurez-vous que votre enregistrement DMARC est correctement configuré. Vérifiez que l'enregistrement DMARC est correctement configuré auprès de votre fournisseur de domaine et qu'il est présent dans vos paramètres DNS.

  2. Assurez-vous que SPF et DKIM sont activés

    • Activez SPF et DKIM: Vérifiez que SPF et DKIM sont activés et correctement configurés pour votre domaine. Les deux doivent être actifs pendant au moins 48 heures avant d'activer le DMARC

    • Configuration détaillée: Suivez les instructions de configuration du SPF et du DKIM pour vous assurer qu'ils sont correctement mis en œuvre.

  3. Vérifiez les résultats de l'authentification

    • En-têtes de révision: Inspectez les en-têtes des e-mails pour vérifier les résultats SPF, DKIM et DMARC. Dans Gmail, cliquez sur « Afficher l'original » pour afficher ces résultats.

    • Utiliser des outils de diagnostic: saisissez les en-têtes des messages dans le Outil d'en-tête de message Google Admin Toolbox pour vérifier les états d'authentification.

  4. Consultez les rapports DMARC

    • Vérifiez les rapports: Consultez vos rapports DMARC pour vous assurer que les messages passent les contrôles SPF, DKIM et DMARC. Vous pouvez utiliser un outil ou un service d'analyse de rapports DMARC pour obtenir des informations complètes

  5. Résoudre les défaillances de la DMARC

    • Résoudre les défaillances: Si les messages sortants échouent au DMARC, vérifiez vos paramètres SPF et DKIM. Assurez-vous que les messages passent au moins l'une de ces vérifications pour être conformes aux politiques de la DMARC

    • Réviser la politique de la DMARC: Vérifiez votre politique DMARC et vos paramètres d'alignement. Une politique stricte peut entraîner une augmentation des taux de rejet ou de placement de spam.

    • Consultez les rapports quotidiens: examinez les rapports quotidiens de la DMARC pour identifier les messages sortants qui ne passent pas les protocoles SPF, DKIM ou DMARC.

  6. Evaluer les pratiques d'envoi de courrier

    • Suivez les meilleures pratiques: veillez au respect des meilleures pratiques en matière d'envoi d'e-mails, en particulier si vous envoyez de gros volumes. Consultez les instructions relatives à l'envoi d'e-mails aux utilisateurs de Gmail.

  7. Utilisez la recherche dans le journal des e-mails pour obtenir des informations

    • Recherche détaillée : Utilisez Email Log Search pour obtenir des informations détaillées sur des messages spécifiques envoyés via Google Workspace. Effectuez une recherche par adresse IP de l'expéditeur et examinez les détails des messages pour diagnostiquer les problèmes.

Was this article helpful?

Retour en haut