Configurer SPF, DKIM et DMARC chez OVH

Tout se passe au même endroit : ton espace client OVHcloud, onglet Zone DNS de ton domaine. Tu as trois choses à mettre en place — une ligne qui dit qui a le droit d'envoyer en ton nom (SPF), une signature automatique sur tes emails (DKIM, activable en un clic si tes boîtes sont chez OVH), et une ligne qui dit aux boîtes de réception quoi faire quand ça ne colle pas (DMARC). Compte 15 minutes devant l'écran, et jusqu'à 24 h avant que le changement soit visible partout.

Ces trois réglages font que les serveurs qui reçoivent tes emails peuvent vérifier que c'est bien toi. Ils ne garantissent pas que tout atterrira en boîte de réception — le contenu et ta réputation d'expéditeur comptent aussi — mais sans eux, tu pars avec un handicap et n'importe qui peut écrire à ta place.

Les valeurs à copier-coller

1. SPF — la liste de ceux qui envoient pour toi

Ce que tu dois remplacer : rien, si tes emails partent uniquement des boîtes OVH (MX Plan, Email Pro, Zimbra). Si tu envoies aussi depuis un autre service, tu dois ajouter son include: dans la même ligne :

v=spf1 include:mx.ovh.com include:LE-SERVICE-QUE-TU-UTILISES ~all

Remplace LE-SERVICE-QUE-TU-UTILISES par ce que ton outil t'a donné. Les plus courants :

⚠️ Un domaine ne doit avoir qu'une seule ligne SPF. Deux lignes SPF = SPF cassé, pas SPF doublé.

Sur le ~all de la fin : OVH recommande -all « pour une protection optimale », mais précise de ne le choisir qu'une fois certain que la ligne liste toutes tes sources d'envoi légitimes — sinon les emails de la source oubliée sont rejetés. Tant que tu n'en es pas sûr, reste en ~all : c'est d'ailleurs la valeur qu'OVH écrit lui-même dans son SPF de référence.

2. DKIM — la signature de tes emails

Si tes boîtes mail sont chez OVH, tu n'as aucune valeur à copier. OVH génère et publie la clé pour toi (voir le chemin de clics plus bas).

Si tes emails partent d'un service extérieur, c'est ce service qui te donne les enregistrements à créer, et le format change de l'un à l'autre :

Dans tous les cas, tu recopies exactement ce que ton service affiche : la clé est propre à ton domaine, elle ne se devine pas et ne se recopie pas depuis un tutoriel.

3. DMARC — la consigne donnée aux boîtes de réception

Ce que tu dois remplacer : TON-ADRESSE@TON-DOMAINE.fr par une adresse que tu relèves vraiment. C'est là que tu recevras les rapports.

Pourquoi p=none et pas p=reject tout de suite : p=none veut dire « observe et raconte-moi », personne n'est bloqué. Tu regardes les rapports pendant 2 à 4 semaines, tu vérifies que tous tes outils légitimes sont bien reconnus, et seulement après tu durcis. Commencer par p=reject sans avoir regardé, c'est la façon la plus rapide de faire disparaître ses propres factures.

Le chemin de clics dans l'espace client OVH

Ajouter une entrée dans la zone DNS

1. Connecte-toi sur ton espace client OVHcloud.
2. Menu Web Cloud → Noms de domaine → clique sur ton domaine.
3. Onglet Zone DNS.
4. Bouton Ajouter une entrée, au-dessus du tableau : un formulaire s'ouvre juste en dessous, entre la barre d'outils et le tableau.
5. Choisis le type d'entrée (TXT, ou les formulaires assistés SPF / DKIM / DMARC proposés par OVH — chaque type affiche une courte description).
6. Remplis Sous-domaine et Valeur (ou Cible pour un CNAME), laisse le TTL sur Par défaut.
7. Clique sur Ajouter. C'est tout : une seule étape, pas d'assistant.

Si ton écran ouvre un assistant en plusieurs étapes (Suivant, puis Confirmer), c'est l'ancienne version de l'interface : mêmes champs, même résultat.

Avant d'ajouter, jette un œil au tableau : si la ligne existe déjà, modifie-la plutôt que d'en créer une deuxième — menu ⋮ au bout de la ligne, puis Modifier l'entrée (ou Supprimer l'entrée). Pour retrouver un SPF, filtre sur les types TXT et SPF : OVH précise qu'il « peut apparaître à deux endroits différents ».

OVH propose deux façons de faire pour chaque entrée : le formulaire assisté (un champ par paramètre) ou le TXT brut (tu colles la ligne complète). Le TXT brut est plus simple si tu as déjà la valeur sous les yeux — c'est ce qu'on te donne plus haut.

Raccourci SPF : le formulaire assisté SPF d'OVH a une case Inclure les serveurs e-mail OVH. Cochée seule, elle écrit v=spf1 include:mx.ovh.com ~all à ta place. Pratique si OVH est ton seul expéditeur. Pour ajouter un autre outil, mets son domaine dans le champ Serveurs supplémentaires à autoriser (include), choisis ~all dans Politique SPF, et vérifie la ligne finale dans le cadre Aperçu de l'enregistrement SPF avant de cliquer sur Ajouter.

Activer DKIM sur tes boîtes OVH

1. Espace client → menu Web Cloud → ton service e-mail (MX Plan, Email Pro, Exchange ou Zimbra Mail) → ton domaine.
2. Onglet Informations générales (MX Plan) ou Domaines associés (Email Pro, Exchange) : la pastille DKIM est rouge si la signature n'est pas active. Sur Zimbra, passe par l'onglet Domaine, puis ⋮ → Diagnostics.
3. Clique sur la pastille rouge, puis sur Activer.
4. OVH publie les clés et la pastille passe au vert. Compte de 30 minutes à 24 h.

On ne touche jamais à ta zone DNS à ta place. Tu restes seul aux commandes de ton domaine : nous, on te dit quoi taper, où, et on te dit si c'est bon après.

Les 3 erreurs qu'on voit le plus souvent chez OVH

1. Deux enregistrements SPF au lieu d'un

Ça arrive dès qu'on ajoute un nouvel outil d'envoi : on crée une deuxième ligne commençant par v=spf1 au lieu de compléter l'existante.

Comment tu le reconnais : ton scan affiche « plusieurs SPF détectés », ou tes rapports montrent un SPF en erreur (permerror) alors que la ligne a l'air correcte. Certains destinataires t'acceptent, d'autres non, sans logique apparente.

Le correctif : supprime la ligne en trop, fusionne tous les include: dans une seule ligne.

2. Le nom du domaine écrit en double dans le sous-domaine

Dans le champ Sous-domaine d'OVH, on saisit le sous-domaine seul, pas le domaine complet (OVH le dit lui-même : le .tondomaine.fr est « déjà prérempli »). Si tu tapes _dmarc.tondomaine.fr, OVH crée _dmarc.tondomaine.fr.tondomaine.fr — et ton DMARC n'existe pas.

Comment tu le reconnais : ton DMARC est « introuvable » alors que tu le vois dans le tableau de la zone DNS. Regarde la colonne de gauche : le nom complet y est affiché, l'erreur saute aux yeux.

Le correctif : dans Sous-domaine, tape uniquement _dmarc. Rien d'autre.

3. Tout bloquer avant d'avoir lu un seul rapport

Le réflexe « autant faire les choses bien du premier coup » : on met p=reject dès la première minute. Sauf que ton site WordPress, ton logiciel de facturation et ta newsletter envoient peut-être encore sans être autorisés.

Comment tu le reconnais : des emails que tu envoyais depuis des années arrêtent d'arriver, du jour au lendemain, sans message d'erreur visible pour toi — le rejet a lieu chez le destinataire.

Le correctif : repasse en p=none, regarde les rapports, autorise tout ce qui est légitime, puis monte d'un cran vers p=quarantine (les emails douteux partent en indésirables au lieu d'être détruits) avant d'aller jusqu'à p=reject.

Combien de temps avant que ça prenne effet

• Dans l'interface OVH : la modification est enregistrée immédiatement.
• Sur Internet : OVH annonce jusqu'à 24 h pour une propagation complète (« 4 à 24 heures » sur son guide SPF). En pratique, la plupart des serveurs voient le changement en moins d'une heure si le TTL était bas.
• Pour DKIM activé via l'espace client : de 30 minutes à 24 h.
• Pour les rapports DMARC : les premiers arrivent 24 à 72 h après la publication de l'enregistrement, puis une fois par jour environ.

Le conseil pratique : fais tes modifications, puis attends une heure avant de tester. Tester dans les cinq minutes ne prouve rien.

Pour aller plus loin

• Configurer Google Workspace (SPF, DKIM, DMARC) chez OVH
• Configurer Brevo avec un domaine hébergé chez OVH
• Configurer Mailjet avec un domaine hébergé chez OVH
• Passer son DMARC en p=reject sans casser ses emails