Configurer DMARC avec Google Workspace

Google Workspace a besoin de trois enregistrements DNS distincts pour authentifier vos emails — pas d’un seul. Voici comment les poser dans le bon ordre, et pourquoi.

SPF

Ajoutez include:_spf.google.com à l’enregistrement TXT SPF existant de votre domaine. N’en créez jamais un deuxième séparé : un domaine ne doit avoir qu’un seul enregistrement SPF, qui liste tous ses expéditeurs autorisés.

v=spf1 include:_spf.google.com ~all

DKIM

Générez la clé dans la console d’administration Google (Applications → Google Workspace → Gmail → Authentifier l’email), publiez l’enregistrement TXT au sélecteur fourni, puis activez-le depuis la même page. Sans cette dernière étape, la clé existe dans le DNS mais Google ne signe rien.

DMARC

Commencez par un enregistrement en observation, publié sur _dmarc.votredomaine.com :

v=DMARC1; p=none; rua=mailto:votre-adresse@votredomaine.com

Restez en p=none le temps de voir, dans vos rapports, qui envoie réellement en votre nom, avant de passer en quarantine puis reject. Comment mener cette progression sans casser vos envois.

Erreurs fréquentes avec Google Workspace

• Un outil d’envoi tiers configuré en délégation casse l’alignement SPF si son propre domaine n’est pas ajouté à l’enregistrement.
• Les alias de messagerie n’héritent pas automatiquement de la signature DKIM du domaine principal.
• Le DKIM reste sur le sélecteur de test tant qu’on n’a pas cliqué sur « Commencer l’authentification » — l’erreur la plus courante, et la plus invisible : rien ne signale que ça ne signe pas.
• Les domaines secondaires et les alias de domaine se configurent séparément : chacun a son propre DKIM à générer et à activer.

Vérifier que ça tient

Une configuration correcte le jour de la pose ne le reste pas forcément : un nouvel outil marketing, un prestataire, une migration DNS, et l’alignement se dégrade sans prévenir. Les rapports agrégats sont là pour ça — encore faut-il les lire. Voici ce qu’ils contiennent.

Une fois en place, Clarsend lit vos rapports DMARC et vous montre si Google — et tout le reste — passe bien l’authentification, sans avoir à ouvrir un seul fichier XML.