Configurer DMARC avec OVHcloud

OVHcloud est à la fois hébergeur et fournisseur de messagerie, ce qui crée une confusion fréquente : le domaine, la zone DNS et l’offre e-mail peuvent vivre dans trois endroits différents, et l’activation automatique de DKIM ne fonctionne que si la zone est bien chez OVHcloud.

SPF

Un seul enregistrement TXT SPF pour tout le domaine, incluant les serveurs sortants d’OVHcloud :

v=spf1 include:mx.ovh.com ~all

Ce seul include couvre l’ensemble des offres mutualisées (MX Plan, Email Pro, Hosted Exchange). OVHcloud recommande de terminer par -all plutôt que ~all — mais seulement une fois que tous vos expéditeurs figurent dans l’enregistrement, y compris vos outils tiers. Passer en -all avec un prestataire oublié, c’est faire rejeter ses propres factures.

DKIM

L’activation se fait dans l’espace client, pas dans la zone DNS : sélectionnez l’offre e-mail, le domaine concerné, onglet Informations générales, puis cliquez sur le badge DKIM affiché en rouge dans la colonne Diagnostic et validez.

Si la zone DNS du domaine est gérée chez OVHcloud, la configuration est automatique et proposée par défaut à la création du service. Si la zone est ailleurs — autre registrar, Cloudflare, DNS d’entreprise — OVHcloud vous affiche deux valeurs CNAME à publier vous-même. Elles doivent être propagées avant de cliquer sur Activer, sinon l’activation échoue sans que rien ne l’explique.

DMARC

Publiez la politique en observation sur _dmarc.votredomaine.com :

v=DMARC1; p=none; rua=mailto:votre-adresse@votredomaine.com

Restez-y le temps d’identifier tous vos expéditeurs légitimes avant de durcir. La progression, palier par palier.

Erreurs fréquentes avec OVHcloud

• Le badge DKIM reste rouge alors que tout semble fait : c’est presque toujours la zone DNS hébergée ailleurs, donc les deux CNAME jamais publiés.
• L’hébergement web envoie aussi. Un formulaire de contact ou un script d’un site hébergé chez OVHcloud part par des serveurs qui ne sont pas forcément ceux du service e-mail. Ne le supposez pas : regardez ce que disent vos rapports.
• Deux offres sur le même domaine — un MX Plan historique puis un Exchange — restent couvertes par un seul enregistrement SPF. En créer un second invalide les deux.
• Les alias et redirections réexpédient un message sans le resigner : le SPF casse à la réexpédition, et seul DKIM sauve l’alignement. Raison de plus pour ne pas s’en passer.

Une fois en place, Clarsend lit vos rapports et vous montre ce qui passe, ce qui échoue, et qui envoie sans que vous le sachiez — sans ouvrir un seul fichier XML.