Configurer DMARC avec Mailgun

Mailgun s’installe par convention sur un sous-domaine d’envoi, du type mail.votredomaine.com. Toute la configuration se pose là — et c’est la source de l’erreur la plus fréquente : on met les enregistrements à la racine.

Sur le sous-domaine, pas à la racine

mail.votredomaine.com          TXT  v=spf1 include:mailgun.org ~all
mx._domainkey.mail.votredomaine.com  TXT  (clé publique DKIM)
mail.votredomaine.com          MX   (les deux enregistrements fournis)

Les deux MX servent aux rebonds et à l’entrant du sous-domaine. Si votre offre utilise la sécurité automatisée des expéditeurs, la clé DKIM est publiée en CNAME plutôt qu’en TXT, ce qui laisse Mailgun la faire tourner sans vous.

Pourquoi ça aligne

L’adresse d’enveloppe devient mail.votredomaine.com, un sous-domaine du vôtre. En alignement souple — le mode par défaut de DMARC — un sous-domaine correspond au domaine parent : le SPF aligne, et DKIM aussi. Vous n’avez rien à ajouter à l’enregistrement SPF de votre domaine racine.

DMARC

Publiez la politique en observation sur _dmarc.votredomaine.com :

v=DMARC1; p=none; rua=mailto:votre-adresse@votredomaine.com

Durcissez seulement une fois tous vos expéditeurs identifiés. La progression, palier par palier.

Erreurs fréquentes avec Mailgun

• Mettre include:mailgun.org dans le SPF de la racine. Inutile si vous envoyez depuis le sous-domaine, et ça consomme une des dix résolutions DNS autorisées.
• Prendre le CNAME de suivi pour de l’authentification. email.mail.votredomaine.com sert à l’ouverture et au clic ; il ne joue aucun rôle dans DMARC.
• Oublier les MX du sous-domaine. Les rebonds ne reviennent plus, et vous perdez la visibilité sur les adresses mortes.
• Expédier depuis la racine alors que seule la configuration du sous-domaine est en place : l’alignement se juge sur le domaine du De:.

Une fois en place, Clarsend lit vos rapports et vous montre ce qui passe, ce qui échoue, et qui envoie sans que vous le sachiez.