Configurer DMARC avec Brevo

Brevo authentifie les domaines autrement que la plupart des plateformes, et cette différence surprend : ni SPF ni MX ne sont demandés pour authentifier un domaine. Ils ne le sont que dans le cas d’une adresse IP dédiée.

Ce que Brevo vous demande de publier

Depuis votre compte, section des domaines expéditeurs, Brevo affiche les valeurs exactes à recopier dans votre zone DNS : un code Brevo, un enregistrement DKIM, et un enregistrement DMARC si vous n’en avez pas encore. Ces valeurs sont propres à votre compte — elles ne se devinent pas et ne se copient pas d’un tutoriel.

Une distinction à garder en tête : le code Brevo prouve que le domaine vous appartient, il n’authentifie aucun message. Un domaine où seul ce code est publié apparaît « vérifié » côté Brevo et continue d’échouer à DMARC. C’est le DKIM qui fait le travail.

Comptez jusqu’à 48 heures pour que l’authentification complète soit reconnue.

Pourquoi l’absence de SPF n’est pas un problème

DMARC est satisfait dès que SPF ou DKIM passe et s’aligne avec le domaine affiché. Comme Brevo expédie avec sa propre adresse d’enveloppe, un SPF de votre côté ne changerait pas l’alignement : c’est la signature DKIM, posée sur votre domaine, qui rend le message conforme. Ajouter un include Brevo « au cas où » consomme une des dix résolutions DNS autorisées sans rien apporter.

Votre enregistrement SPF reste évidemment nécessaire pour vos autres expéditeurs — votre messagerie, votre facturation, vos scripts.

DMARC

Publiez la politique en observation sur _dmarc.votredomaine.com :

v=DMARC1; p=none; rua=mailto:votre-adresse@votredomaine.com

Restez-y le temps d’identifier tous vos expéditeurs légitimes avant de durcir. La progression, palier par palier.

Erreurs fréquentes avec Brevo

• S’arrêter au code Brevo. Le domaine est vérifié, les emails échouent quand même à DMARC.
• Ajouter un SPF Brevo par précaution : inutile pour l’alignement, et une résolution DNS de moins dans un budget déjà serré.
• Publier le DMARC avant le DKIM. Une politique stricte posée d’abord fait rejeter vos propres campagnes le temps que l’authentification suive.
• Un sous-domaine d’envoi non couvert : la politique du domaine parent s’applique aux sous-domaines sauf sp=, et un sous-domaine d’envoi mal authentifié tombe avec.

Une fois en place, Clarsend lit vos rapports et vous montre ce qui passe, ce qui échoue, et qui envoie sans que vous le sachiez — sans ouvrir un seul fichier XML.