Configurer DMARC avec Mailjet

Mailjet n’est pas un hébergeur de boîtes mais une plateforme d’envoi : elle expédie en votre nom. Toute la difficulté DMARC tient dans cette nuance, et elle se joue sur un mot — l’alignement.

SPF

Ajoutez le mécanisme Mailjet à votre enregistrement SPF existant :

v=spf1 include:spf.mailjet.com include:_spf.google.com ~all

L’exemple combine Mailjet et Google Workspace : c’est le cas courant, et il illustre la règle — un domaine n’a qu’un enregistrement SPF, qui liste tous ses expéditeurs.

DKIM

Publiez un TXT sur l’hôte mailjet._domainkey.votredomaine.com, avec la clé publique fournie dans votre compte Mailjet, section d’authentification SPF/DKIM. Elle se présente sous la forme k=rsa; p=MIGfMA0GCSqGSIb3DQ….

Le point qui compte vraiment : l’alignement

Par défaut, Mailjet expédie avec sa propre adresse d’enveloppe. Résultat : le SPF passe — les serveurs de Mailjet sont bien autorisés — mais il valide le domaine de Mailjet, pas le vôtre. Pour DMARC, cela compte comme un échec, parce que le domaine validé ne correspond pas à celui affiché dans le champ De:.

C’est DKIM qui rattrape tout : signé avec une clé publiée sur votre domaine, il aligne. Sur une plateforme d’envoi, DKIM n’est donc pas une option de confort — c’est ce qui fait la conformité DMARC. Cette distinction entre résultat brut et résultat aligné est la source d’erreur numéro un à la lecture des rapports.

DMARC

Publiez la politique en observation sur _dmarc.votredomaine.com :

v=DMARC1; p=none; rua=mailto:votre-adresse@votredomaine.com

Restez-y le temps d’identifier tous vos expéditeurs légitimes avant de durcir. La progression, palier par palier.

Erreurs fréquentes avec Mailjet

• Croire que le SPF suffit. Il passe, il n’aligne pas. Sans DKIM, un passage en p=reject fait disparaître vos campagnes.
• La limite des dix résolutions DNS. Chaque include en consomme ; au-delà de dix, l’enregistrement entier devient invalide — et l’erreur est silencieuse.
• Un second enregistrement SPF créé « pour Mailjet » à côté de l’existant : les deux s’annulent.
• Une adresse d’expéditeur d’un autre domaine que celui authentifié : l’alignement se juge sur le domaine du De:, pas sur le compte Mailjet.

Une fois en place, Clarsend lit vos rapports et vous montre ce qui passe, ce qui échoue, et qui envoie sans que vous le sachiez — sans ouvrir un seul fichier XML.