Configurer DMARC avec SparkPost

SparkPost distingue explicitement deux notions que la plupart des plateformes confondent : le domaine d’envoi, celui qui apparaît dans le De:, et le domaine de rebond, celui de l’adresse de retour. Configurer le premier sans le second est le cas le plus fréquent — et celui qui laisse le SPF non aligné.

Le domaine d’envoi : DKIM en TXT

Un enregistrement TXT portant la clé publique, sur le sélecteur fourni par SparkPost. Il vérifie la propriété du domaine et permet la signature DKIM : c’est le même enregistrement qui fait les deux.

(sélecteur)._domainkey.votredomaine.com  TXT  v=DKIM1; k=rsa; p=MIGfMA0GCSq…

Le domaine de rebond : un CNAME sur un sous-domaine

SparkPost recommande d’utiliser un sous-domaine comme domaine de rebond, avec un CNAME pointant vers l’hôte qu’il vous fournit :

bounces.votredomaine.com  CNAME  (hôte fourni par SparkPost)

Ce sous-domaine devient l’adresse d’enveloppe de vos messages. En alignement souple — le mode par défaut de DMARC — un sous-domaine correspond au domaine parent : le SPF aligne, en plus de DKIM.

Sans domaine de rebond configuré, l’adresse de retour reste celle de SparkPost. Le SPF passe, ne s’aligne pas, et DMARC repose entièrement sur DKIM.

DMARC

Publiez la politique en observation sur _dmarc.votredomaine.com :

v=DMARC1; p=none; rua=mailto:votre-adresse@votredomaine.com

Durcissez seulement une fois tous vos expéditeurs identifiés. La progression, palier par palier.

Erreurs fréquentes avec SparkPost

• S’arrêter au domaine d’envoi. L’envoi fonctionne, DMARC passe grâce à DKIM, et la conformité disparaît le jour où un relais casse la signature.
• Utiliser le domaine racine comme domaine de rebond. SparkPost recommande un sous-domaine dédié : ça isole la réputation d’envoi de celle de votre messagerie.
• Un CNAME posé sur un nom déjà occupé. Un CNAME ne peut coexister avec aucun autre enregistrement sur le même nom — pas même un TXT.
• Vérifier trop tôt. L’outil de vérification interroge le DNS en direct : tant que la propagation n’est pas faite, il renvoie une erreur qui n’en est pas une.

Une fois en place, Clarsend lit vos rapports et vous montre ce qui passe, ce qui échoue, et qui envoie sans que vous le sachiez.