Postmark documente lui-même le point que la plupart des plateformes laissent dans l’ombre : son Return-Path personnalisé n’est pas un réglage de confort, c’est ce qui rend l’alignement SPF possible.
Deux enregistrements
(sélecteur fourni)._domainkey TXT (clé publique DKIM)
pm-bounces CNAME pm.mtasv.netLe premier signe vos messages. Le second crée l’adresse de retour sur votre domaine. Le préfixe pm-bounces est librement modifiable : il doit simplement être identique dans votre zone DNS et dans l’interface de Postmark, sinon la vérification échoue.
Ce que le Return-Path change
Sans lui, l’adresse d’enveloppe reste celle de Postmark : le SPF passe et n’aligne pas, et seul DKIM fait passer DMARC. Avec lui, l’adresse de retour devient un sous-domaine du vôtre, l’alignement souple la rattache à votre domaine, et SPF et DKIM alignent tous les deux.
Ce n’est pas une redondance inutile : DKIM survit aux transferts, SPF résiste aux modifications de contenu par un relais. Les avoir tous les deux, c’est une conformité qui tient dans les cas limites.
DMARC
Publiez la politique en observation sur _dmarc.votredomaine.com :
v=DMARC1; p=none; rua=mailto:votre-adresse@votredomaine.comDurcissez seulement une fois tous vos expéditeurs identifiés. La progression, palier par palier.
Erreurs fréquentes avec Postmark
- Sauter le Return-Path personnalisé. Tout fonctionne, jusqu’au jour où une signature DKIM est cassée par un intermédiaire et où il ne reste rien.
- Un préfixe différent entre le DNS et l’interface. La vérification échoue sans dire pourquoi ; les deux doivent correspondre au caractère près.
- Confondre signature d’expéditeur et vérification de domaine. La première autorise une adresse, la seconde tout le domaine — et seule la seconde exige le DKIM.
- Ajouter un
includePostmark à votre SPF racine. Le Return-Path personnalisé rend la manœuvre inutile.
Une fois en place, Clarsend lit vos rapports et vous montre ce qui passe, ce qui échoue, et qui envoie sans que vous le sachiez.