Activer DKIM chez OVH (MX Plan, Email Pro, Exchange, Zimbra)

Si tes boîtes mail sont chez OVH, tu n'as aucune clé à générer ni aucune valeur à copier : DKIM s'active en un clic depuis ton espace client, sur la pastille DKIM de ton offre e-mail, et OVH crée lui-même les deux enregistrements dans ta zone DNS. Compte de 30 minutes à 24 h avant que la pastille passe au vert. Si tes emails partent d'un autre service (Google Workspace, Microsoft 365, Brevo, Mailjet…), ce n'est pas OVH qui signe : c'est ce service qui te donne ses enregistrements, et tu les ajoutes dans la zone DNS OVH.

DKIM est la signature de tes emails : une clé privée chez celui qui envoie, une clé publique publiée dans ton DNS, et les boîtes de réception qui comparent les deux. Sans DKIM, ton DMARC ne repose que sur SPF — et SPF ne survit pas à un transfert d'email. Avec DKIM, il tient.

Le chemin de clics, offre par offre

Le principe est le même partout : une pastille DKIM, rouge tant que la signature n'est pas active, et un bouton Activer. Seul l'onglet change selon l'offre.

Ton offre e-mail OVH	Où cliquer
MX Plan	Espace client → Web Cloud → MX Plan → ton domaine → onglet Informations générales → pastille DKIM → Activer
Email Pro	Espace client → Web Cloud → Email Pro → ta plateforme → onglet Domaines associés → pastille DKIM → Activer
Exchange	Espace client → Web Cloud → section MICROSOFT → Exchange → ta plateforme → onglet Domaines associés → pastille DKIM (à droite) → Activer
Zimbra Mail	Espace client → Web Cloud → Zimbra Mail → onglet Domaine → menu ⁝ → Diagnostics → onglet DKIM

Rien à saisir : OVH génère la paire de clés, publie la clé publique, et bascule la pastille au vert quand c'est fait. Pour Exchange et Email Pro, OVH crée deux sélecteurs — c'est ce qui lui permet de faire tourner les clés plus tard sans coupure.

Ce qu'OVH crée dans ta zone DNS

Deux enregistrements CNAME, pas des TXT. Leur nom suit le modèle ovhmo1234567-selector1._domainkey et ovhmo1234567-selector2._domainkey (le préfixe est ovhex… pour Exchange), et ils pointent vers une cible du type ovhmo1234567-selector1._domainkey.123403.aj.dkim.mail.ovh.net. — avec un point final. C'est à cette cible que vit la vraie clé publique (v=DKIM1; k=rsa; p=…), maintenue par OVH.

Tu les verras apparaître dans l'onglet Zone DNS de ton domaine. Ne les modifie pas et ne les supprime pas : la pastille repasserait au rouge et tes emails partiraient sans signature.

Si la pastille reste rouge plus de 24 h, quelque chose s'est mal passé : OVH indique que le sélecteur doit être en statut ready avant de pouvoir être activé, et renvoie vers sa section de dépannage. Dans ce cas, vérifie d'abord que ta zone DNS est bien chez OVH (voir ci-dessous).

Si ta zone DNS n'est pas chez OVH

Domaine chez OVH mais zone DNS chez Cloudflare, chez ton agence ou chez un autre registrar ? OVH ne peut pas écrire dans une zone qu'il n'héberge pas. Il te montre alors les deux enregistrements à créer toi-même dans la fenêtre de configuration DKIM (les valeurs customerRecord et targetRecord de son API) :

Champ	Valeur
Type	CNAME
Nom (sous-domaine)	`ovhmo1234567-selector1._domainkey` (le tien, affiché par OVH)
Cible	`ovhmo1234567-selector1._domainkey.123403.aj.dkim.mail.ovh.net.` (la tienne, avec le point final)

Même chose pour selector2. Recopie exactement ce qu'OVH affiche : ces identifiants sont propres à ton offre, ils ne se devinent pas et ne se recopient pas depuis un tutoriel.

Si tes emails partent d'un autre service

La pastille OVH ne signe que les emails envoyés par les serveurs OVH. Ton Google Workspace, ton Microsoft 365, ta newsletter Brevo ou tes transactionnels Mailjet ont chacun leur propre clé, générée dans leur interface, à publier dans la zone DNS OVH — en TXT ou en CNAME selon l'outil :

Service	Ce qu'il te fait créer chez OVH
Google Workspace	une entrée TXT `google._domainkey`, avec la clé générée dans la console d'administration
Microsoft 365	deux entrées CNAME, `selector1._domainkey` et `selector2._domainkey`
Brevo, Mailjet, la plupart des outils d'emailing	une à trois entrées, TXT ou CNAME, affichées dans l'outil

Les guides ci-dessous donnent le chemin de clics des deux côtés. Un domaine peut très bien avoir plusieurs DKIM en même temps — un par service qui envoie — c'est même la situation normale.

Combien de temps avant que ça prenne effet

Activation par la pastille : OVH annonce « entre 30 minutes et 24 heures maximum ».
CNAME créés à la main dans une zone externe : le temps de propagation de ton hébergeur DNS, en général moins d'une heure.
Pour le vérifier : attends que la pastille soit verte, envoie-toi un email depuis ta boîte OVH vers une adresse Gmail, ouvre « Afficher l'original » et cherche dkim=pass. Ou scanne ton domaine plus bas.

Questions fréquentes

Est-ce que DKIM chez OVH est gratuit ?

Oui. L'activation par la pastille DKIM est incluse dans les offres MX Plan, Email Pro, Exchange et Zimbra Mail, sans option à ajouter. OVH génère les clés, les publie et les fait tourner lui-même.

Faut-il activer DKIM si j'ai déjà SPF ?

Oui. SPF vérifie le serveur qui envoie, DKIM signe le message lui-même. Quand un email est transféré, SPF échoue mais la signature DKIM reste valide — c'est elle qui fait passer DMARC dans ce cas. Les deux ensemble, c'est ce que Gmail et Yahoo exigent des expéditeurs en volume depuis 2024.

Pourquoi la pastille DKIM reste-t-elle rouge chez OVH ?

Le plus souvent parce que la zone DNS du domaine n'est pas hébergée chez OVH : les deux CNAME n'ont pas pu être créés automatiquement et doivent l'être à la main, à partir des valeurs affichées dans la fenêtre de configuration DKIM. Au-delà de 24 h après activation, OVH renvoie vers son guide de dépannage.