Passer au contenu principal

Configurer les enregistrements DNS sur Google Domains

Vous cherchez comment configurer vos DNS dans Google Domains ? Vous êtes au bon endroit !

Ce que vous allez apprendre

À la fin de ce tutoriel, vous saurez configurer DKIM, SPF et DMARC pour un domaine géré sur Google Domains (ou Squarespace Domains), puis vérifier chaque enregistrement pour que vos emails soient authentifiés et aient plus de chances d’arriver en boîte de réception.

Pourquoi c’est important

L’authentification des emails prouve que les messages envoyés depuis votre domaine sont légitimes. En configurant correctement DKIM, SPF et DMARC, vous réduisez les risques d’usurpation d’identité et d’hameçonnage, tout en améliorant votre délivrabilité, notamment auprès de Google Workspace et des autres grands fournisseurs d’email.

Avant de commencer

  • Vous avez accès aux paramètres DNS de votre domaine dans Google Domains (à noter : de nombreux domaines sont désormais gérés sur Squarespace Domains).

  • Vous avez un accès administrateur à la console d’administration Google de votre environnement Google Workspace (pour configurer DKIM).

  • Vous savez quels systèmes envoient des emails au nom de votre domaine (Google Workspace, un CRM, un outil marketing, une plateforme de support, etc.). Ces informations sont importantes pour SPF et l’alignement DMARC.

Configuration pas à pas

Partie 1 : configurer DKIM dans Google Workspace (signature des emails sortants)

DKIM ajoute une signature cryptographique à vos messages sortants. Les serveurs de réception l’utilisent pour vérifier que vos emails n’ont pas été modifiés et que leur envoi a bien été autorisé par votre domaine.

  1. Ouvrez la console d’administration Google

    • Rendez-vous sur admin.google.com et connectez-vous avec un compte de super-administrateur.

  2. Accédez aux paramètres d’authentification Gmail (DKIM)

    • Allez dans Applications > Google Workspace > Gmail.

    • Sélectionnez Authentifier les e-mails (DKIM).

  3. Sélectionnez le domaine à authentifier

    • Dans le sélecteur de domaine, choisissez celui que vous utilisez pour envoyer vos emails.

  4. Générez l’enregistrement DKIM, puis publiez-le dans les DNS

    • Google vous fournit un enregistrement TXT DKIM, avec son nom d’hôte et sa valeur.

    • Dans un nouvel onglet, ouvrez les paramètres DNS de votre domaine dans Google Domains et ajoutez l’enregistrement TXT fourni.

    • Sauvegardez l’enregistrement.

  5. Activez la signature DKIM

    • Revenez à la page DKIM de la console d’administration et cliquez sur Démarrer l’authentification (ou sur l’option équivalente pour lancer l’authentification).

Remarque : selon votre configuration Google Workspace, des enregistrements DKIM peuvent déjà être publiés. Vérifiez toujours les enregistrements DNS existants avant d’en ajouter de nouveaux afin d’éviter les doublons.

Partie 2 : publier un enregistrement SPF dans Google Domains (autoriser les expéditeurs)

SPF indique aux serveurs de réception quels systèmes sont autorisés à envoyer des emails pour votre domaine. Cela contribue à prévenir l’usurpation d’identité et facilite ensuite l’application de la politique DMARC.

  1. Ouvrez les paramètres DNS de votre domaine

    • Connectez-vous à Google Domains.

    • Sélectionnez votre domaine, puis ouvrez la section DNS.

  2. Ajoutez ou modifiez votre enregistrement TXT SPF

    • Repérez la zone Custom records (souvent intitulée Manage custom records).

    • Créez un nouvel enregistrement avec les paramètres suivants :

    • Type: TXT
      ​Host/Name: @
      ​Value: v=spf1 include:_spf.google.com ~all
      ​TTL: valeur par défaut (ou celle de votre choix)

    • Sauvegardez l’enregistrement.

Important : vous ne devez avoir qu’un seul enregistrement SPF (un enregistrement TXT commençant par v=spf1) par domaine. Si vous utilisez d’autres services d’envoi, comme un CRM ou une plateforme marketing, vous devez regrouper leurs mécanismes SPF « include » dans ce même enregistrement.

Partie 3 : publier un enregistrement DMARC dans Google Domains (politique et rapports)

DMARC indique aux fournisseurs d’email comment traiter les messages lorsque les vérifications SPF et/ou DKIM échouent. Il permet aussi de recevoir des rapports sur les résultats de l’authentification.

  1. Ouvrez les paramètres DNS de votre domaine

    • Dans Google Domains, ouvrez la section DNS de votre domaine.

  2. Ajoutez un enregistrement TXT DMARC

    • Créez un nouvel enregistrement TXT avec les paramètres suivants :

    • Type: TXT
      ​Host/Name: _dmarc
      ​Value: v=DMARC1; p=none; rua=mailto:[email protected]
      ​TTL: valeur par défaut (ou celle de votre choix)

    • Remplacez [email protected] par l’adresse de la boîte mail qui doit recevoir les rapports DMARC agrégés.

    • Sauvegardez l’enregistrement.

Conseil : commencez par p=none pour analyser d’abord les rapports. Après avoir confirmé que les emails des sources légitimes réussissent systématiquement les contrôles SPF/DKIM, envisagez de passer à des politiques plus strictes (quarantine, puis reject) pour mieux bloquer l’usurpation d’identité.

Partie 4 : vérifier le bon fonctionnement de DKIM, SPF et DMARC

Ces vérifications permettent de confirmer que vos modifications DNS se sont bien propagées et que vos emails sont bien authentifiés en conditions réelles.

  1. Vérifiez DKIM dans les en-têtes d’un message

    • Envoyez un email de test à une adresse Gmail.

    • Ouvrez le message dans Gmail, cliquez sur le menu à trois points, puis sélectionnez Afficher l’original.

    • Repérez Authentication-Results et vérifiez que la mention dkim=pass apparaît (ou une mention équivalente indiquant que le contrôle a réussi).

  2. Vérifiez SPF et DMARC

    • Dans la même vue « Afficher l’original », vérifiez que les mentions spf=pass et dmarc=pass apparaissent (une fois l’enregistrement DMARC publié et l’alignement assuré).

    • Vous pouvez également utiliser un outil de recherche DNS pour vérifier que les enregistrements TXT sont présents et correspondent aux valeurs que vous avez entrées.

Remarque : la propagation DNS peut prendre jusqu’à 48 heures, mais elle est souvent bien plus rapide.

Exemple concret

Si vous envoyez vos emails uniquement via Google Workspace, voici une configuration de base courante :

  • SPF : v=spf1 include:_spf.google.com ~all

  • DKIM : activé dans la console d’administration Google, avec publication de l’enregistrement TXT fourni par Google

  • DMARC (surveillance) : v=DMARC1; p=none; rua=mailto:[email protected]

Une fois que les en-têtes confirment la réussite des contrôles et que les rapports DMARC ne montrent que des sources légitimes, vous pouvez renforcer votre politique DMARC pour réduire les tentatives d’usurpation d’identité.

Problèmes courants et solutions

Problème : SPF affiche « fail » ou « softfail »

  • Cause : le système d’envoi n’est pas inclus dans SPF ou vous avez créé plusieurs enregistrements SPF par erreur.

  • Solution :

    • Assurez-vous de n’avoir qu’un seul enregistrement TXT commençant par v=spf1.

    • Ajoutez au même enregistrement SPF le mécanisme « include » requis pour chaque outil d’envoi supplémentaire que vous utilisez (CRM, outil marketing ou outil de support).

Problème : DKIM échoue même après le lancement de l’authentification

  • Cause : l’enregistrement TXT DKIM publié dans les DNS ne correspond pas à celui généré par Google, ou le sélecteur ou le domaine est incorrect.

  • Solution :

    • Vérifiez de nouveau que le nom d’hôte et la valeur de l’enregistrement TXT DKIM correspondent exactement à ceux fournis dans la console d’administration.

    • Attendez la fin de la propagation DNS, puis refaites un test avec la vue « Afficher l’original » de Gmail.

Problème : DMARC affiche « fail » alors que les contrôles SPF et DKIM sont validés

  • Cause : Alignement requis par DMARC : le domaine validé par SPF/DKIM doit être aligné avec le domaine visible dans le champ « From ».

  • Solution :

    • Vérifiez que le message est envoyé avec le bon domaine dans le champ « From ».

    • Assurez-vous que DKIM signe les messages avec votre domaine et/ou que le contrôle SPF réussit pour ce même domaine (ou pour un sous-domaine correctement aligné).

Problème : vous ne recevez pas de rapports DMARC

  • Cause : la boîte mail renseignée dans rua est incorrecte, bloquée ou non consultée. Certains fournisseurs peuvent aussi mettre du temps à commencer à envoyer des rapports.

  • Solution :

    • Vérifiez que l’adresse indiquée dans rua=mailto: existe et peut recevoir des emails externes.

    • Patientez quelques jours : les rapports agrégés sont généralement envoyés à intervalles réguliers, pas immédiatement.

Testez vos connaissances

  • Pouvez-vous indiquer quels systèmes sont actuellement autorisés à envoyer des emails pour votre domaine et s’ils sont tous inclus dans SPF ?

  • Dans la vue « Afficher l’original » de Gmail, voyez-vous dkim=pass et spf=pass pour vos messages de test ?

  • Quelle est votre politique DMARC actuelle (none, quarantine ou reject) et pourquoi l’avez-vous choisie ?

Articles connexes
Avez-vous trouvé la réponse à votre question ?