Configurer Google Workspace (SPF, DKIM, DMARC) chez OVH

Trois enregistrements TXT à créer dans ta zone DNS OVH : le SPF, le DKIM et le DMARC. Le SPF et le DMARC sont des valeurs fixes que tu peux recopier ; le DKIM, lui, se génère d'abord dans la console d'administration Google, puis se colle chez OVH, puis s'active en revenant chez Google — dans cet ordre. Compte 20 minutes devant l'écran, jusqu'à 24 h de propagation chez OVH et jusqu'à 48 h avant que Google confirme.

Concrètement, ces trois lignes disent aux serveurs qui reçoivent tes emails que Google a le droit d'envoyer en ton nom, et leur donnent une consigne quand quelqu'un d'autre essaie. Ça ne garantit pas l'arrivée en boîte de réception — le contenu de tes emails et ta réputation d'expéditeur comptent au moins autant — mais sans ça, tu pars avec un handicap sérieux.

Attention si tu es passé par l'assistant de configuration Google au moment de créer ton compte : il a peut-être déjà posé le SPF. Va d'abord regarder ta zone DNS avant d'ajouter quoi que ce soit — la première cause de panne, ici, c'est le doublon, pas l'oubli.

Ce qu'on ne fait pas : on ne touche jamais à ta zone DNS. Ce guide t'explique quoi taper et où ; c'est toi qui valides, dans ton espace client, avec tes accès.

Les valeurs à copier-coller

1. SPF — dire que Google a le droit d'envoyer

Ce que tu dois remplacer : rien, si Google est ton seul outil d'envoi. Si tu envoies aussi des campagnes depuis un autre service, ajoute son include: dans la même ligne :

v=spf1 include:_spf.google.com include:spf.brevo.com ~all

Sur le ~all de la fin : Google le recommande explicitement. Il signifie « si ça vient d'ailleurs, c'est suspect » plutôt que « si ça vient d'ailleurs, jette ». C'est le bon réglage pour commencer, parce qu'un outil oublié dans ta liste ne fera pas disparaître tes emails du jour au lendemain. OVH, lui, recommande -all « pour une protection optimale » — mais seulement une fois certain que tous tes expéditeurs sont listés. Commence en ~all, durcis plus tard.

⚠️ Un domaine ne doit avoir qu'une seule ligne SPF. Si tu en as déjà une — et c'est probable si tu as eu des boîtes email OVH avant Google — tu la modifies, tu n'en crées pas une deuxième.

2. DKIM — la signature de tes emails

Ce que tu dois remplacer : toute la partie après p=. C'est une clé publique générée pour ton domaine dans ta console — une valeur trouvée dans un tutoriel ne fonctionnera jamais.

Le préfixe google est celui proposé par défaut, et Google le recommande. Tu peux en choisir un autre au moment de générer la clé — c'est utile uniquement si ton domaine utilise déjà une clé DKIM avec ce même préfixe. Dans ce cas, le sous-domaine à créer chez OVH devient tonprefixe._domainkey.

Le choix qui va te compliquer ou te simplifier la vie : au moment de générer, Google te propose 2048 bits (recommandé) ou 1024 bits. Une clé 2048 bits produit une valeur de plus de 400 caractères, alors qu'un enregistrement TXT est limité à 255 caractères par morceau — il faut donc la découper en plusieurs chaînes entre guillemets, que le serveur qui vérifie recolle tout seul. Ce n'est pas une bizarrerie d'OVH, c'est le protocole DNS. Google prévoit d'ailleurs le repli : il autorise explicitement 1024 bits « si le fournisseur ne prend pas en charge 2048 bits ».

3. DMARC — la consigne donnée aux boîtes de réception

Ce que tu dois remplacer : TON-ADRESSE@TON-DOMAINE.fr par une adresse que tu relèves vraiment. C'est là que tu recevras les rapports.

Pourquoi p=none pour commencer : ça veut dire « observe et raconte-moi ». Personne n'est bloqué, et tu reçois les rapports. Tu regardes pendant 2 à 4 semaines, tu vérifies que tous tes outils légitimes — Gmail, mais aussi ton site, ton logiciel de facturation, ton outil de campagnes — sont bien reconnus, et seulement après tu durcis d'un cran vers p=quarantine, puis p=reject. C'est exactement la progression que Google recommande.

Si tu envoies plus de 5 000 messages par jour vers des adresses Gmail, ce n'est pas facultatif. Depuis le 1er février 2024, Google exige de ces expéditeurs le SPF et le DKIM (les deux, pas l'un ou l'autre) plus un enregistrement DMARC publié. Bonne nouvelle : Google précise que la politique peut rester sur none. C'est la présence de l'enregistrement qui compte, pas sa sévérité. En dessous de ce seuil, SPF ou DKIM suffit — mais poser les trois reste le bon réflexe.

⚠️ Un domaine ne doit avoir qu'un seul enregistrement DMARC. Si tu en avais déjà un, tu le modifies, tu n'en ajoutes pas un second.

Et les MX, au passage

Si tu configures Google Workspace de zéro, Google recommande aujourd'hui un seul enregistrement MX :

Ce que tu dois remplacer : rien — c'est la seule valeur de cette page qui est identique pour tout le monde. Le seul piège, c'est le point final.

Si ton domaine tourne déjà avec les cinq anciens enregistrements en aspmx.l.google.com et compagnie, ne touche à rien. Google est formel : ces valeurs restent prises en charge et aucun changement n'est nécessaire tant que ton email fonctionne.

⚠️ Les MX, c'est la réception, et il ne peut y en avoir qu'un jeu. Si tu as encore des boîtes email OVH (MX Plan) actives sur ce domaine, basculer les MX vers Google fait cesser la réception sur les boîtes OVH. OVH prévient d'ailleurs que « modifier les enregistrements MX dans la zone DNS de son nom de domaine est une manipulation délicate ». Vide et sauvegarde tes anciennes boîtes avant, pas après.

Le chemin de clics

Côté Google — générer la clé DKIM

1. Connecte-toi à la console d'administration Google avec un compte administrateur.
2. Menu → Applications → Google Workspace → Gmail.
3. Ouvre Authentifier les e-mails.
4. Sélectionne ton domaine, choisis la longueur de clé et le préfixe, puis clique sur Générer un nouvel enregistrement.
5. Google affiche la valeur DKIM. Ne clique pas encore sur « Lancer l'authentification » — Google le dit lui-même noir sur blanc à cette étape. Tu y reviendras.
6. Copie la valeur, va la créer chez OVH (section suivante), puis reviens ici et clique sur Lancer l'authentification.

Quand c'est bon, l'état affiché en haut de la page indique Authentification des e-mails avec DKIM.

Sur un compte Google Workspace tout neuf, le bouton de génération peut ne rien donner pendant un moment : Google indique qu'il faut attendre entre 24 et 72 heures après l'activation de Gmail avant d'obtenir sa clé DKIM. Ce n'est pas un bug, c'est le délai annoncé.

Côté OVH — créer les entrées

1. Connecte-toi à ton espace client OVHcloud.
2. Web Cloud → Noms de domaine → clique sur ton domaine → onglet Zone DNS.
3. Regarde d'abord le tableau. Y a-t-il déjà une ligne TXT commençant par v=spf1 ? Un _dmarc ? Si oui, tu vas modifier, pas ajouter. Utilise le bouton Filtrer sur les types TXT et SPF : OVH précise que l'enregistrement « peut apparaître à deux endroits différents ».
4. Bouton Ajouter une entrée, au-dessus du tableau : le formulaire s'ouvre juste en dessous. Choisis le type TXT.
5. Renseigne Sous-domaine, puis Valeur. Laisse le TTL sur Par défaut.
6. Clique sur Ajouter. Une seule étape, pas de résumé à valider.

Si ton écran ouvre un assistant en plusieurs étapes (Suivant, puis Confirmer), c'est l'ancienne version de l'interface : mêmes champs, même résultat.

Le champ « Sous-domaine » attend la partie gauche uniquement. OVH ajoute automatiquement ton nom de domaine à la fin. Donc : vide pour le SPF, google._domainkey pour le DKIM, _dmarc pour le DMARC. Taper _dmarc.tondomaine.fr créerait _dmarc.tondomaine.fr.tondomaine.fr.

Pour modifier une entrée existante : repère-la dans le tableau de la zone, ouvre le menu ⋮ au bout de la ligne, puis Modifier l'entrée : la ligne se déploie en formulaire.

L'écran SPF assisté d'OVH. Si tu passes par le formulaire SPF plutôt que par un TXT brut : mets _spf.google.com dans Serveurs supplémentaires à autoriser (include), décoche Inclure les serveurs e-mail OVH si tu n'as plus de boîtes OVH, et choisis ~all dans Politique SPF — celui que Google recommande. Vérifie la ligne dans le cadre Aperçu de l'enregistrement SPF, puis clique sur Ajouter.

Les 3 erreurs qu'on voit le plus souvent sur cette configuration

1. Deux lignes SPF sur le même domaine

C'est l'erreur reine, et elle est particulièrement fréquente sur cette combinaison : OVH a posé un SPF quand tu as créé tes boîtes email, l'assistant Google en a suggéré un autre, et tu te retrouves avec deux lignes v=spf1. Résultat : le SPF ne fonctionne plus du tout, ni pour Google, ni pour le reste.

Comment tu le reconnais : ton scan affiche « plusieurs SPF détectés », ou tes rapports montrent un SPF en erreur (permerror) alors que chaque ligne prise séparément a l'air correcte. Certains destinataires t'acceptent, d'autres non.

Le correctif : une seule ligne, tous les include: dedans. Tu modifies l'existante via ⋮ → Modifier l'entrée, et tu supprimes l'autre (⋮ → Supprimer l'entrée).

2. Le point final oublié sur la cible du MX

Ça ne concerne pas les trois TXT de ce guide, mais ça concerne le MX — et c'est ce qui casse le plus violemment. OVH le documente : « lorsque la cible de votre enregistrement est une URL, pensez à ponctuer celle-ci. En effet, si vous ne le faites pas, votre nom de domaine sera automatiquement ajouté à la fin de votre cible. » Tu tapes smtp.google.com, OVH enregistre smtp.google.com.tondomaine.fr — qui n'existe pas, et tu ne reçois plus rien.

Comment tu le reconnais : plus aucun email n'arrive, immédiatement après ta modification. Dans le tableau de la zone DNS, la colonne de la cible affiche ton propre nom de domaine collé à la fin.

Le correctif : modifie l'entrée et écris smtp.google.com. avec le point. Cette règle vaut pour tout enregistrement dont la cible est un nom de domaine.

3. Cliquer sur « Lancer l'authentification » trop tôt

Google impose un ordre : on génère la clé, on la publie dans le DNS, et seulement ensuite on clique sur le bouton d'activation. Fait dans le désordre, ça échoue — et beaucoup de gens en concluent que leur clé est mauvaise et la régénèrent, ce qui invalide celle qu'ils venaient de coller. Boucle infernale.

Comment tu le reconnais : la console reste sur un message d'attente, et tu as régénéré la clé au moins une fois « pour voir ».

Le correctif : arrête de régénérer. Vérifie que la valeur présente dans ta zone OVH correspond bien à la dernière clé affichée par Google, attends, puis clique une seule fois. Nuance importante : Google n'impose pas de durée d'attente entre la publication et le clic — les 48 h annoncées sont un délai maximal de prise d'effet, pas une consigne d'attente.

Combien de temps avant que ça prenne effet

• Dans l'espace client OVH : la modification est enregistrée immédiatement.
• Sur Internet : OVH annonce jusqu'à 24 h de propagation (« 4 à 24 heures » dans son guide SPF, « 24 heures maximum » dans son guide de zone DNS).
• Côté Google : jusqu'à 48 h pour que l'authentification SPF fonctionne, et jusqu'à 48 h pour DKIM après l'ajout de la clé. La console peut continuer d'afficher un message d'attente pendant ce temps.
• Pour les rapports DMARC : les premiers arrivent 24 à 72 h après la publication de l'enregistrement, puis environ une fois par jour.

Résumé utile : compte jusqu'à 24 h de propagation DNS, puis jusqu'à 48 h côté Google. Crée tout d'un coup, va faire autre chose, reviens le lendemain.

Tu envoies aussi depuis un autre outil ?

Google Workspace couvre tes emails quotidiens. Dès que tu ajoutes un outil de campagnes ou de facturation, il faut compléter la même ligne SPF.

Attention en accumulant : une ligne SPF ne peut déclencher que 10 recherches DNS. Chaque include: en consomme au moins une, parfois plusieurs. Au-delà, le SPF passe en erreur pour tout le monde, alors que la ligne a l'air parfaitement correcte.

Pour aller plus loin

• Configurer SPF, DKIM et DMARC chez OVH
• Configurer Brevo avec un domaine hébergé chez OVH
• Configurer Mailjet avec un domaine hébergé chez OVH
• Configurer Microsoft 365 (SPF, DKIM, DMARC) chez IONOS
• Passer son DMARC en p=reject sans casser ses emails
• Mes emails partent en spam alors que SPF, DKIM et DMARC sont bons