SPF et DKIM pour vos emails

Les messages envoyés depuis votre hébergement web HolyCloud (webmail, formulaires PHP, CMS) sont mieux acceptés par Gmail, Outlook et autres fournisseurs si vous publiez des enregistrements SPF, DKIM et idéalement DMARC dans la zone DNS de votre domaine.

Prérequis

• Domaine géré chez HolyCloud ou accès à la zone DNS du domaine
• Boîtes mail ou envoi SMTP créés sur l'hébergement mutualisé
• Accès au panneau (cPanel / DirectAdmin) pour récupérer les valeurs DKIM

Comprendre SPF, DKIM et DMARC

| Mécanisme | Rôle |

|-----------|------|

| SPF | Liste les serveurs autorisés à envoyer pour votre domaine |

| DKIM | Signature cryptographique prouvant que le message n'a pas été altéré |

| DMARC | Politique de traitement si SPF/DKIM échouent + rapports |

Sans SPF/DKIM, vos mails risquent le dossier spam ou un rejet (550 5.7.1).

Étape 1 : identifier le serveur d'envoi

Dans le panneau d'hébergement :

1. Espace client → Hébergement web → Accéder au panneau.
2. Section Comptes de messagerie / Email Accounts : notez le serveur SMTP (ex. mail.votredomaine.fr ou hostname du cluster HolyCloud).
3. Section Email Deliverability ou Authentication (cPanel) : le panneau affiche souvent les enregistrements recommandés.

Le hostname SMTP indiqué dans le client mail doit correspondre à celui autorisé dans SPF.

Étape 2 : enregistrement SPF (DNS TXT)

Dans la zone DNS du domaine (espace client HolyCloud → Domaines → Zone DNS, ou panneau registrar) :

• Type : TXT
• Nom / Host : @ (ou racine du domaine)
• Valeur (exemple à adapter selon le panneau) :

v=spf1 a mx include:_spf.holycloud.fr ~all

Variantes courantes :

• v=spf1 mx a ~all — si seuls MX et A du domaine envoient
• v=spf1 include:spf.protection.outlook.com ~all — si vous utilisez aussi Microsoft 365 en parallèle (un seul enregistrement SPF par domaine — combinez les include)

Règle : un seul enregistrement SPF par domaine (un seul v=spf1).

Qualificateurs :

• ~all : soft fail (souvent utilisé en transition)
• -all : hard fail (plus strict, une fois SPF validé)

Vérification :

dig TXT votredomaine.fr +short

Étape 3 : activer DKIM dans le panneau

cPanel :

1. Email → Email Deliverability.
2. Sélectionnez le domaine → Repair / Install the suggested records.
3. Copiez l'enregistrement DKIM proposé (souvent un TXT sur default._domainkey).

Exemple de valeur DKIM (tronquée) :

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

Dans la zone DNS :

• Type : TXT
• Nom : default._domainkey (ou celui indiqué par le panneau)
• Valeur : chaîne complète fournie par cPanel

DirectAdmin : E-Mail Accounts → DKIM / DNS Management selon version.

Étape 4 : DMARC (recommandé)

Enregistrement TXT sur _dmarc :

v=DMARC1; p=none; rua=mailto:[email protected]; pct=100; adkim=r; aspf=r

Évolution :

• p=none : surveillance sans blocage
• p=quarantine puis p=reject une fois SPF/DKIM stables

Étape 5 : test d'envoi

1. Envoyez un mail de test depuis webmail vers une adresse Gmail.
2. Dans Gmail : Afficher l'original → cherchez spf=pass, dkim=pass, dmarc=pass.

Outils en ligne (saisissez votre domaine) : validateurs SPF/DKIM publics.

Formulaires PHP et envoi mail()

Les scripts mail() utilisent le serveur local ; SPF/DKIM du domaine doivent inclure ce serveur. Pour un volume important, utilisez SMTP authentifié (compte mail du domaine) plutôt que mail() nu.

Exemple PHPMailer (SMTP) — hôte et ports depuis le panneau :

$mail->Host = 'mail.votredomaine.fr';
$mail->Port = 587;
$mail->SMTPSecure = PHPMailer::ENCRYPTION_STARTTLS;
$mail->Username = '[email protected]';

Dépannage

| Symptôme | Action |

|----------|--------|

| SPF perm fail | Trop de include ; fusionner ; un seul TXT SPF |

| DKIM fail | Clé DKIM absente ou nom d'hôte incorrect |

| Mail reçu mais spam | Ajouter DMARC ; contenu ; réputation IP partagée |

| Double SPF | Supprimer doublons TXT v=spf1 |

| Erreur courante | Correction |

|-----------------|------------|

| 550 5.7.26 (Microsoft) | SPF + DKIM obligatoires — relancer Email Deliverability |

| Enregistrement trop long | DKIM en plusieurs chaînes TXT (split automatique cPanel) |

Ce guide ne couvre pas

• Serveur mail dédié sur VPS (voir documentation VPS)
• Configuration complète Microsoft 365 / Google Workspace hybride

Besoin d'aide ?

Ticket avec le nom de domaine, capture Email Deliverability et en-têtes complets d'un mail de test (SPF/DKIM en échec).