Configurer SPF, DKIM et DMARC chez Infomaniak

Bonne nouvelle : si ton domaine et tes boîtes mail sont chez Infomaniak, deux des trois réglages sont déjà faits sans que tu aies rien demandé. Infomaniak pose la ligne SPF à la création de ton Service Mail, et signe tes emails (DKIM) automatiquement. Il te reste le troisième — DMARC — que personne ne met en place à ta place. Compte 10 minutes, et jusqu'à 48 h avant que le changement soit visible partout.

Ces trois réglages permettent aux serveurs qui reçoivent tes emails de vérifier que c'est bien toi qui écris. Ils ne garantissent pas l'arrivée en boîte de réception — le contenu et ta réputation d'expéditeur comptent aussi — mais sans eux, n'importe qui peut envoyer un email à ta place, et tu pars avec un handicap.

Avant de commencer, réponds à une question : est-ce que ta zone DNS est gérée chez Infomaniak, ou ailleurs (chez ton registrar, chez Cloudflare, chez un autre hébergeur) ? Tout ce guide en dépend. Si les serveurs de noms de ton domaine ne pointent pas vers Infomaniak, la zone DNS que tu vois dans le Manager Infomaniak n'est pas celle que le monde consulte — c'est le piège n°1 de cette page.

Les valeurs à copier-coller

1. SPF — la liste de ceux qui envoient pour toi

Ce que tu dois remplacer : rien, si tes emails partent uniquement des boîtes Infomaniak. Attention au nom de domaine de l'include : c'est bien spf.infomaniak.ch, en .ch, pas en .com.

Le plus souvent, tu n'as rien à créer : Infomaniak installe cet enregistrement automatiquement quand tu crées un Service Mail sur un domaine dont la zone DNS est chez lui. Va d'abord voir si la ligne existe déjà.

Si tu envoies aussi depuis un autre service (ta newsletter, ton logiciel de facturation, ton CRM), tu dois ajouter son include: dans la même ligne :

v=spf1 include:spf.infomaniak.ch include:LE-SERVICE-QUE-TU-UTILISES -all

Remplace LE-SERVICE-QUE-TU-UTILISES par ce que ton outil t'a donné. Les plus courants :

⚠️ Un domaine ne doit avoir qu'une seule ligne SPF. Deux lignes v=spf1 = SPF cassé, pas SPF doublé. Tu modifies la ligne existante, tu n'en ajoutes pas une deuxième.

Le -all de la fin mérite une seconde de réflexion. Infomaniak termine sa ligne par -all (« tout le reste est illégitime, refusez-le ») là où beaucoup d'hébergeurs mettent ~all (« tout le reste est douteux, notez-le »). -all est plus protecteur, mais il est aussi plus tranchant : le jour où tu branches un nouvel outil d'envoi et que tu oublies de l'ajouter à la ligne, ses emails sont refusés d'entrée. Garde -all si tu es sûr d'avoir listé tous tes expéditeurs ; sinon, mets ~all le temps de vérifier dans tes rapports DMARC, puis reviens à -all.

2. DKIM — la signature de tes emails

Si ta zone DNS est chez Infomaniak : tu n'as rien à faire. DKIM est activé par défaut sur les Services Mail dont la zone DNS est gérée par Infomaniak, et tous tes emails sont signés — que tu écrives depuis le webmail Infomaniak ou depuis ton logiciel de messagerie.

Si ta zone DNS est ailleurs : tu dois publier la clé toi-même. Elle t'attend dans le Manager, dans Sécurité globale > DKIM (chemin de clics plus bas). Tu la recopies dans ta zone DNS, chez qui elle se trouve.

Ce que tu dois remplacer : tout. Le sélecteur et la clé sont propres à ton domaine — ils ne se devinent pas et ne se recopient jamais depuis un tutoriel, y compris celui-ci. Si un guide te donne un sélecteur DKIM en dur, ferme-le.

Si tes emails partent d'un service extérieur (Google Workspace, Microsoft 365, un outil d'emailing), c'est ce service qui te donne ses propres enregistrements, et le format change de l'un à l'autre :

Rassure-toi : tu peux avoir plusieurs enregistrements DKIM sur le même domaine, un par service. Contrairement à SPF et DMARC, il n'y a pas de limite — à condition que chaque service utilise un sélecteur différent, ce qui est le cas en pratique.

3. DMARC — la consigne donnée aux boîtes de réception

C'est le seul des trois qu'Infomaniak ne pose pas à ta place.

Ce que tu dois remplacer : TON-ADRESSE@TON-DOMAINE.fr par une adresse que tu relèves vraiment. C'est là que tu recevras les rapports.

Pourquoi p=none et pas p=reject tout de suite : tu vas trouver dans la documentation Infomaniak un exemple qui commence directement par p=reject. Ne le copie pas les yeux fermés. p=reject veut dire « détruisez tout ce qui n'est pas authentifié » — y compris ton logiciel de facturation ou ton formulaire de contact WordPress si tu as oublié de les autoriser. p=none veut dire « observez et racontez-moi » : personne n'est bloqué, et tu reçois les rapports. Tu regardes pendant 2 à 4 semaines, tu vérifies que tous tes outils légitimes sont reconnus, et seulement après tu durcis d'un cran.

Le chemin de clics dans le Manager Infomaniak

Ajouter une entrée dans la zone DNS

1. Connecte-toi à ton Manager Infomaniak.
2. Va dans la gestion de tes domaines et clique sur le nom du domaine concerné.
3. Dans le menu latéral gauche, clique sur Zone DNS.
4. Bouton Ajouter une entrée.
5. Sélectionne le type d'enregistrement (TXT, ou les types tout prêts DKIM / DMARC), puis Suivant.
6. Remplis le formulaire — les champs s'appellent Source, Cible et TTL.
7. Laisse le TTL tel qu'il est proposé, puis Enregistrer.

Le champ « Source » attend le sous-domaine seul. La documentation Infomaniak le dit ainsi : « laissez vide ou renseignez un éventuel sous-domaine concerné ». Pour ton domaine racine (SPF), tu laisses vide. Pour DMARC, tu tapes _dmarc et rien d'autre — surtout pas _dmarc.tondomaine.fr.

Pour modifier une entrée existante (le cas du SPF auquel tu ajoutes un include:), clique sur le menu ⋮ à droite de la ligne, puis Modifier.

L'outil qui vérifie SPF, DKIM et DMARC à ta place

Infomaniak propose un écran qui analyse ta configuration et propose de la corriger.

1. Manager → Service Mail → clique sur le nom de ton service.
2. Menu latéral gauche → Sécurité globale.
3. En cas de problème SPF détecté, un bouton Corriger met la ligne à jour automatiquement.
4. Pour DMARC, un assistant te propose un mode simple (les recommandations Infomaniak) ou un mode avancé (tu choisis tout). L'entrée TXT correspondante est écrite dans la zone DNS pour toi.

C'est là aussi que tu trouves ta clé DKIM à publier, si ta zone DNS est ailleurs : Sécurité globale > DKIM.

Attention à la portée de cet outil. La documentation Infomaniak est explicite : les analyses de Sécurité globale ne sont pertinentes que si le nom de domaine est chez Infomaniak et configuré pour diriger le trafic mail vers Infomaniak. Si ta zone DNS est ailleurs, l'écran peut t'afficher du vert alors que le monde extérieur voit autre chose.

On ne touche jamais à ta zone DNS à ta place. Tu restes seul aux commandes de ton domaine : nous, on te dit quoi taper, où, et on te dit si c'est bon après.

Les 3 erreurs qu'on voit le plus souvent chez Infomaniak

1. La zone DNS n'est pas là où on croit

C'est de loin l'erreur la plus fréquente. Le domaine est acheté chez Infomaniak, mais les serveurs de noms ont été pointés vers Cloudflare, vers l'hébergeur du site, ou vers un ancien prestataire. Résultat : tu modifies consciencieusement la zone DNS dans le Manager Infomaniak… qui n'est plus celle que les serveurs du monde entier consultent.

Comment tu le reconnais : tout est vert dans ton Manager, et pourtant un scan extérieur ne trouve ni ton SPF ni ton DKIM. Autre signal : tu as modifié une entrée il y a trois jours et rien n'a bougé.

Le correctif : identifie où pointent tes serveurs de noms, et fais tes modifications là-bas. Si tu veux tout ramener chez Infomaniak, c'est possible, mais c'est une opération à part — et pendant la bascule, ton site et tes emails dépendent de la zone qui fait autorité, pas des deux.

2. Un -all strict avec un expéditeur oublié

Infomaniak pose un SPF qui se termine par -all : tout envoi qui ne vient pas des serveurs listés est refusé, pas juste signalé. C'est un bon réglage — tant que la liste est complète.

Comment tu le reconnais : un outil précis arrête de passer. Tes emails personnels arrivent très bien, mais les factures de ton logiciel de compta, les notifications de ton site ou ta newsletter disparaissent, souvent sans que tu voies passer d'erreur.

Le correctif : ajoute l'include: de l'outil concerné dans la ligne existante, et vérifie que tu ne dépasses pas 10 recherches DNS (chaque include: en consomme au moins une, parfois plusieurs). Si tu n'es pas sûr de connaître tous tes expéditeurs, repasse temporairement en ~all et lis tes rapports DMARC avant de resserrer.

3. Copier l'exemple p=reject de la documentation

L'exemple DMARC que donne la documentation Infomaniak est en p=reject. Copié tel quel un lundi matin, il fait disparaître les emails de tous les outils que tu n'as pas encore autorisés — et le rejet a lieu chez le destinataire, donc tu ne le vois pas.

Comment tu le reconnais : des emails que tu envoyais depuis des années arrêtent d'arriver, du jour au lendemain, sans message d'erreur visible de ton côté. Tes clients te disent « je n'ai rien reçu » alors que ton logiciel affiche « envoyé ».

Le correctif : repasse en p=none, lis les rapports pendant 2 à 4 semaines, autorise tout ce qui est légitime, puis monte d'un cran vers p=quarantine (les emails suspects partent en indésirables plutôt que d'être détruits) avant d'aller jusqu'à p=reject.

Combien de temps avant que ça prenne effet

• Dans le Manager Infomaniak : la modification est enregistrée immédiatement.
• Sur Internet : Infomaniak annonce jusqu'à 48 h pour toute modification DNS. En pratique, la plupart des serveurs voient le changement bien plus vite si le TTL de l'ancienne valeur était bas.
• Attention aux caches des fournisseurs d'accès : certains ignorent le TTL et gardent l'ancienne valeur 24 h ou plus. Ce n'est pas une erreur de ta part, c'est du cache.
• Pour les rapports DMARC : les premiers arrivent 24 à 72 h après la publication de l'enregistrement, puis environ une fois par jour.

Le conseil pratique : fais tes modifications, puis attends une heure avant de tester. Tester dans les cinq minutes ne prouve rien.

Pour aller plus loin

• Configurer SPF, DKIM et DMARC sur Cloudflare
• Configurer Brevo avec un domaine hébergé chez OVH
• Passer son DMARC en p=reject sans casser ses emails
• Mes emails partent en spam alors que SPF, DKIM et DMARC sont bons