Configurer DMARC avec SendGrid

SendGrid se distingue des autres plateformes d’envoi sur un point qui change tout pour DMARC : son authentification de domaine vous fait déléguer un sous-domaine, et c’est ce sous-domaine qui rend l’alignement SPF possible.

Les trois CNAME

L’authentification de domaine, avec la sécurité automatisée activée, vous donne trois enregistrements :

em1234._domainkey…  →  un sous-domaine d'envoi délégué à SendGrid
s1._domainkey       CNAME  s1.domainkey.uXXXX.wlYYY.sendgrid.net.
s2._domainkey       CNAME  s2.domainkey.uXXXX.wlYYY.sendgrid.net.

Le premier crée un sous-domaine du type em1234.votredomaine.com, délégué à SendGrid. Les deux autres sont les sélecteurs DKIM, s1 et s2 par défaut ; SendGrid fait tourner les clés entre eux tout seul, ce qui vous évite de les renouveler à la main.

Pourquoi cette délégation compte

Sur la plupart des plateformes, l’adresse d’enveloppe reste celle du prestataire : le SPF passe sans aligner, et seul DKIM sauve la conformité DMARC. Ici, l’adresse d’enveloppe devient em1234.votredomaine.com — un sous-domaine du vôtre. En alignement souple, le mode par défaut, un sous-domaine correspond au domaine parent : SPF et DKIM alignent tous les deux.

C’est confortable, et ce n’est pas une raison pour se passer de DKIM : SPF casse au transfert, DKIM non.

DMARC

Publiez la politique en observation sur _dmarc.votredomaine.com :

v=DMARC1; p=none; rua=mailto:votre-adresse@votredomaine.com

Durcissez seulement une fois tous vos expéditeurs identifiés. La progression, palier par palier.

Erreurs fréquentes avec SendGrid

• Un éditeur de zone qui refuse les underscores dans les CNAME. La sécurité automatisée devient alors impossible et il faut passer en mode manuel — c’est documenté par SendGrid, et ça surprend au moment de coller les enregistrements.
• Ajouter un include SendGrid à votre SPF. Inutile avec la sécurité automatisée : le sous-domaine délégué porte déjà sa propre politique, et vous consommeriez une résolution DNS pour rien.
• Confondre authentification de domaine et personnalisation des liens. Ce sont deux réglages distincts ; la seconde ne joue aucun rôle dans DMARC.
• Expédier depuis un domaine non authentifié alors qu’un autre l’est : l’alignement se juge sur le domaine du De:, pas sur le compte SendGrid.

Une fois en place, Clarsend lit vos rapports et vous montre ce qui passe, ce qui échoue, et qui envoie sans que vous le sachiez.