Configurer Mailjet avec un domaine hébergé chez OVH

Trois enregistrements à créer dans ta zone DNS OVH — un SPF, un DKIM, un DMARC — plus un quatrième si Mailjet te demande de prouver que le domaine t'appartient. Mailjet t'affiche les valeurs dans l'écran de ses domaines d'expédition, tu les recopies dans l'espace client OVHcloud, puis tu reviens cliquer sur le bouton de vérification. Compte 20 minutes devant l'écran, jusqu'à 24 h de propagation chez OVH et jusqu'à 48 h avant que Mailjet affiche les deux pastilles en vert.

Authentifier ton domaine, ça veut dire prouver aux serveurs qui reçoivent tes emails que Mailjet a bien le droit d'envoyer en ton nom. Ça ne garantit pas l'arrivée en boîte de réception — le contenu de tes emails et ta réputation d'expéditeur comptent au moins autant — mais sans ça, tes campagnes partent avec un handicap sérieux.

Ce qu'on ne fait pas : on ne touche jamais à ta zone DNS. Ce guide t'explique quoi taper et où ; c'est toi qui valides, dans ton espace client, avec tes accès.

Les valeurs à copier-coller

1. SPF — dire qui a le droit d'envoyer

Ce que tu dois remplacer : rien dans cette ligne, mais regarde d'abord ce que contient la tienne. Si tu n'as pas de boîtes email OVH, retire include:mx.ovh.com. Si tu as d'autres outils qui envoient en ton nom (ta facturation, ton CRM, ton site), leurs include: doivent rester dans la ligne.

Les deux morceaux sont officiels : include:mx.ovh.com est le SPF de référence d'OVHcloud, include:spf.mailjet.com est celui que Mailjet demande. En revanche, la ligne fusionnée ci-dessus n'est publiée telle quelle par aucune des deux documentations — c'est une composition correcte, pas une valeur à copier les yeux fermés. Mailjet documente d'ailleurs lui-même la fusion : quand plusieurs services envoient pour toi, on garde une seule entrée TXT avec tous les include: dedans.

⚠️ Un domaine ne doit avoir qu'une seule ligne SPF. Tu modifies la ligne existante — tu n'en crées pas une deuxième pour Mailjet. C'est l'erreur n°1 plus bas.

2. DKIM — la signature de tes emails

Ce que tu dois remplacer : toute la partie après p=. C'est une clé publique générée pour ton domaine — une valeur trouvée dans un tutoriel ne fonctionnera jamais. Le nom d'hôte mailjet._domainkey, lui, est le même pour tout le monde.

Depuis 2024, Mailjet génère par défaut des clés 2048 bits pour tous les domaines d'envoi. La valeur dépasse alors 255 caractères et doit être découpée en plusieurs morceaux entre guillemets. Ce n'est pas une bizarrerie d'OVH : le protocole DNS impose cette limite, et le serveur qui vérifie recolle les morceaux tout seul.

Si ton écran Mailjet affiche un CNAME et non un TXT, ne force pas : recrée exactement ce qu'il te montre, et applique alors la règle du point final sur la cible — c'est l'erreur n°2 plus bas, et elle est invisible à l'œil nu. La documentation de Mailjet n'est pas cohérente sur ce point ; ton écran, lui, fait autorité.

Chez OVH, deux chemins mènent au même résultat. Le formulaire propose un type d'enregistrement DKIM avec des champs séparés (Sélecteur (Sous-domaine), Clé publique (base64), Type de clé, Mode test). OVH précise que cet enregistrement « est nommé DKIM sur l'interface mais il s'agit en réalité d'un enregistrement TXT dans la zone ». Prends le type TXT et colle la valeur complète : c'est plus simple, ça évite de se tromper de champ, et c'est ce qu'OVH conseille « lorsque les informations à saisir vous ont été communiquées par le fournisseur du service e-mail ».

3. DMARC — la consigne donnée aux boîtes de réception

Ce que tu dois remplacer : TON-ADRESSE@TON-DOMAINE.fr par une adresse que tu relèves vraiment. C'est là que tu recevras les rapports.

Mailjet recommande exactement cette structure, en ajoutant un ruf= pour les rapports d'échec détaillés. Tu peux t'en passer au début : peu de fournisseurs les envoient, et ils contiennent des extraits de tes emails.

Pourquoi p=none pour commencer : ça veut dire « observe et raconte-moi ». Personne n'est bloqué, et tu reçois les rapports. Tu regardes pendant 2 à 4 semaines, tu vérifies que tous tes outils légitimes — Mailjet, mais aussi tes boîtes OVH, ton site, ton logiciel de facturation — sont bien reconnus, et seulement après tu durcis d'un cran vers p=quarantine, puis p=reject. Mailjet dit la même chose : on passe aux options restrictives « une fois que tu es confiant dans l'authentification de ton trafic ».

⚠️ Un domaine ne doit avoir qu'un seul enregistrement DMARC. Si tu en avais déjà un, tu le modifies, tu n'en ajoutes pas un second.

4. Le TXT de vérification de propriété — seulement si Mailjet te le demande

Pour valider un domaine entier (et pas seulement une adresse d'expéditeur), Mailjet propose deux méthodes : déposer un fichier texte vide à la racine de ton site par FTP, ou créer un enregistrement TXT avec la valeur qu'il t'affiche.

Ce que tu dois remplacer : tout. Le nom d'hôte comme la valeur sont générés pour ton compte, et Mailjet ne les publie nulle part dans sa documentation — normal, ils sont uniques. Copie-les depuis l'écran, sans rien retaper à la main.

Le chemin de clics

Côté Mailjet — récupérer les valeurs

1. Connecte-toi à Mailjet et ouvre directement la page des expéditeurs : app.mailjet.com/account/sender.
2. Clique sur Add Domain (Ajouter un domaine), saisis ton nom de domaine, puis Continue.
3. Une fois le domaine listé, ouvre-le et va sur l'onglet SPF/DKIM Authentication — ou, selon l'écran servi, Setup SPF/DKIM Authentication.
4. Mailjet affiche les valeurs à créer, avec un bouton de copie pour chacune. Laisse cet onglet ouvert, tu vas faire des allers-retours.

Pourquoi on te donne une URL plutôt qu'un chemin de menu : la documentation officielle de Mailjet décrit ce même écran de quatre façons différentes selon l'article (« Account Settings > Domains & DNS », « Account > Domains & Sender addresses », « Account Settings > Domains and Senders », « Sender domain & address »). L'URL directe, elle, ne bouge pas.

Côté OVH — créer les entrées

1. Connecte-toi à ton espace client OVHcloud.
2. Web Cloud → Noms de domaine → clique sur ton domaine → onglet Zone DNS.
3. Bouton Ajouter une entrée, au-dessus du tableau : le formulaire s'ouvre juste en dessous, entre la barre d'outils et le tableau.
4. Choisis le type TXT (pour les trois enregistrements de ce guide).
5. Renseigne Sous-domaine, puis Valeur. Laisse le TTL sur Par défaut.
6. Clique sur Ajouter. Une seule étape, pas d'écran de confirmation.

Si ton écran ouvre un assistant en plusieurs étapes (Suivant, puis Confirmer), c'est l'ancienne version de l'interface : mêmes champs, même résultat.

Le champ « Sous-domaine » attend la partie gauche uniquement. OVH ajoute automatiquement ton nom de domaine à la fin (sa doc le dit elle-même : le .tondomaine.fr est « déjà prérempli »). Pour DMARC, tape _dmarc et rien d'autre — _dmarc.tondomaine.fr créerait _dmarc.tondomaine.fr.tondomaine.fr. Même logique pour mailjet._domainkey. Et pour le SPF, qui s'applique au domaine racine : laisse le champ vide.

Pour modifier ta ligne SPF existante plutôt qu'en créer une seconde : repère la ligne TXT ou SPF dans le tableau de la zone (le bouton Filtrer sur les types TXT et SPF t'aide : OVH précise que l'enregistrement « peut apparaître à deux endroits différents »), ouvre le menu ⋮ au bout de la ligne, puis Modifier l'entrée : la ligne se déploie en formulaire.

L'écran SPF assisté d'OVH est utile, mais lis les libellés. Si tu passes par le formulaire SPF plutôt que par un TXT brut : coche Inclure les serveurs e-mail OVH si tu as des boîtes OVH, mets spf.mailjet.com dans Serveurs supplémentaires à autoriser (include), et choisis ~all dans Politique SPF. Le cadre Aperçu de l'enregistrement SPF te montre la ligne finale avant de cliquer sur Ajouter. OVH recommande -all « pour une protection optimale », mais précise de ne le choisir « qu'une fois certain que votre enregistrement liste toutes vos sources d'envoi légitimes » — commence donc en ~all, tu durciras plus tard.

Retour côté Mailjet — vérifier

Reviens sur l'écran d'authentification et clique sur le bouton de vérification. Quand tout est bon, Mailjet affiche les statuts SPF et DKIM en OK, en vert. Si ce n'est pas immédiat, ce n'est pas raté : attends une heure avant de tout défaire.

Les 3 erreurs qu'on voit le plus souvent sur cette configuration

1. Une deuxième ligne SPF pour Mailjet

Le réflexe naturel : Mailjet demande include:spf.mailjet.com, on crée une nouvelle entrée. Résultat : deux lignes v=spf1 sur le même domaine, et le SPF ne fonctionne plus du tout — ni pour Mailjet, ni pour tes boîtes OVH. Mailjet le dit sans détour : il faut garder une seule entrée TXT et supprimer les autres.

Comment tu le reconnais : ton scan affiche « plusieurs SPF détectés », ou tes rapports montrent un SPF en erreur (permerror) alors que chaque ligne a l'air correcte. Certains destinataires t'acceptent, d'autres non — c'est la signature de ce problème.

Le correctif : une seule ligne, tous les include: dedans. Tu modifies l'existante via ⋮ → Modifier l'entrée.

Une précaution spécifique à OVH : dans le formulaire SPF, la case Inclure les serveurs e-mail OVH ajoute include:mx.ovh.com à la ligne que tu construis — cochée seule, elle produit v=spf1 include:mx.ovh.com ~all. Ne l'utilise que pour compléter ta ligne existante (via ⋮ → Modifier l'entrée), jamais pour créer une deuxième entrée.

2. Le point final oublié sur la cible d'un CNAME

Ça ne concerne pas les enregistrements TXT de ce guide, mais dès qu'un écran te demande un CNAME — c'est le cas chez Mailjet selon le parcours servi, et chez la plupart des autres services d'envoi — cette erreur devient la plus coûteuse de toutes. OVH le documente : « lorsque la cible de votre enregistrement est une URL, pensez à ponctuer celle-ci. En effet, si vous ne le faites pas, votre nom de domaine sera automatiquement ajouté à la fin de votre cible. » Tu tapes exemple.mailjet.com, OVH enregistre exemple.mailjet.com.tondomaine.fr — qui n'existe pas.

Comment tu le reconnais : Mailjet refuse obstinément de valider un enregistrement que tu as pourtant recopié caractère par caractère. Dans le tableau de la zone DNS OVH, regarde la colonne de la cible : le nom de ton domaine y est collé à la fin.

Le correctif : modifie l'entrée et écris la cible avec un point à la fin — exemple.mailjet.com. — puis revalide.

À savoir : cette règle figure dans le guide OVH « Éditer une zone DNS », mais pas dans son guide dédié au CNAME, qui se contente de dire « dans le champ Cible, renseignez le nom de domaine ou sous-domaine que vous souhaitez cibler ». C'est précisément pour ça que tant de gens tombent dedans.

3. La clé DKIM tronquée en la recopiant

Une clé 2048 bits fait plus de 400 caractères. On la sélectionne à la souris, on en perd un bout, on colle. L'enregistrement existe, il a l'air correct, et il ne validera jamais.

Comment tu le reconnais : le SPF passe en vert, le DKIM reste obstinément en rouge. Dans la zone OVH, la valeur affichée se termine de façon abrupte, sans le = ou == de fin typique d'une clé base64.

Le correctif : reviens dans Mailjet et utilise le bouton de copie à côté de la valeur, jamais la sélection à la souris. Si OVH refuse la valeur parce qu'elle est trop longue, découpe-la en morceaux entre guillemets — OVH indique que « l'enregistrement TXT est limité à 255 caractères » et qu'il est « possible, dans certains cas, de scinder votre valeur » — ou passe par Actions sur ma zone → Modifier en mode textuel, où cette limite n'existe pas (réservé aux utilisateurs avertis, dixit OVH).

Combien de temps avant que ça prenne effet

• Dans l'espace client OVH : la modification est enregistrée immédiatement.
• Sur Internet : OVH annonce jusqu'à 24 h de propagation (« 4 à 24 heures » dans son guide SPF, « 24 heures maximum » dans son guide de zone DNS).
• Côté Mailjet : « les changements DNS peuvent prendre de quelques minutes à 48 heures pour se propager ». En pratique c'est souvent bien plus rapide.
• Pour les rapports DMARC : les premiers arrivent 24 à 72 h après la publication de l'enregistrement, puis environ une fois par jour.

Le conseil pratique : crée les trois entrées d'un coup, va faire autre chose une heure, puis reviens cliquer sur le bouton de vérification. Cliquer douze fois dans les cinq premières minutes ne fait qu'ajouter du doute.

Ton service d'envoi n'est pas Mailjet ?

L'include: à ajouter dans ta ligne SPF change selon l'outil. Le reste du guide — le chemin de clics OVH, le piège du point final, le DMARC — reste identique.

Pour aller plus loin

• Configurer SPF, DKIM et DMARC chez OVH
• Configurer Brevo avec un domaine hébergé chez OVH
• Configurer Google Workspace (SPF, DKIM, DMARC) chez OVH
• Configurer Mailchimp avec un domaine hébergé chez Gandi
• Passer son DMARC en p=reject sans casser ses emails
• Mes emails partent en spam alors que SPF, DKIM et DMARC sont bons