DKIM et DMARC pour Brevo : authentifier votre domaine d’envoi
Ajoutez le code Brevo, les deux enregistrements DKIM et l’enregistrement DMARC, gardez vos propres rapports DMARC, et vérifiez que Brevo signe avec votre domaine.
Tant qu’un domaine n’est pas authentifié dans Brevo, le courrier envoyé en son nom n’est pas signé par lui ; Brevo peut même remplacer l’adresse d’expédition par l’une des siennes. L’authentification tient en quatre enregistrements DNS. Ce guide suit les pages d’aide de Brevo, relues le 14 novembre 2026.
1. Ajouter le domaine
Dans Brevo, ouvrez Paramètres → Expéditeurs, domaines et IP → Domaines (Settings → Senders, Domains, IPs → Domains) et cliquez sur Ajouter un domaine (ou Authentifier à côté d’un domaine déjà listé). Saisissez la partie de votre adresse située après le @.
Brevo peut ajouter les enregistrements lui-même en se connectant à votre hébergeur DNS. La méthode manuelle, Authentifier le domaine vous-même, affiche les enregistrements à copier ; c’est celle décrite ici.
2. Les quatre enregistrements
| Enregistrement | Type | Hôte | À quoi il sert |
|---|---|---|---|
| Code Brevo | TXT | le domaine lui-même (@) |
Prouve que vous contrôlez le domaine |
| DKIM 1 | CNAME | brevo1._domainkey |
Signe votre courrier (en alternance avec DKIM 2) |
| DKIM 2 | CNAME | brevo2._domainkey |
Signe votre courrier (en alternance avec DKIM 1) |
| DMARC | TXT | _dmarc |
Dit aux destinataires quoi faire du courrier en échec |
Copiez chaque nom et chaque valeur depuis Brevo. Si votre hébergeur DNS ajoute de lui-même le domaine à l’hôte, saisissez brevo1._domainkey, pas le nom complet. Les comptes anciens peuvent avoir un seul enregistrement DKIM de type TXT avec une clé de 1024 bits : Brevo permet de passer aux deux CNAME, qui portent une clé plus forte et alternent.
Vous n’avez pas à toucher à SPF sur les adresses partagées de Brevo : SPF passe sur le domaine de retour de Brevo, et DMARC passe grâce à la signature DKIM faite avec votre domaine. Une modification de SPF n’est demandée qu’avec une adresse IP dédiée.
3. DMARC : un seul enregistrement, et vos rapports
Un domaine ne doit avoir qu’un enregistrement DMARC. Si vous en avez déjà un, n’ajoutez pas celui de Brevo à côté : modifiez le vôtre.
Brevo demande une étiquette rua= dans l’enregistrement et propose sa propre adresse, rua@dmarc.brevo.com. Les rapports vont alors chez Brevo, pas chez vous. Pour continuer de lire qui envoie en votre nom, indiquez aussi votre adresse ; rua= en accepte plusieurs, séparées par des virgules :
v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.example,mailto:rua@dmarc.brevo.comSi votre politique est déjà p=quarantine ou p=reject, Brevo exige que le domaine soit authentifié avant de pouvoir y créer un expéditeur : faites d’abord le travail DNS.
4. Confirmer
De retour sur la page Domaines, cliquez sur Authentifier ce domaine d’e-mail. Brevo contrôle chaque enregistrement ; comptez jusqu’à 48 heures pour la propagation DNS, et appuyez de nouveau sur le bouton. Sur la page Expéditeurs, chaque expéditeur doit montrer une coche verte pour la signature DKIM et pour la politique DMARC.
Envoyez ensuite une vraie campagne à l’une de vos boîtes et lisez les en-têtes : dkim=pass avec votre domaine. L’analyseur d’en-têtes d’e-mail les lit pour vous.
Ce qui se passe mal
- L’expéditeur apparaît en @brevosend.com : le domaine n’est pas authentifié, Brevo a donc remplacé l’adresse.
- Un enregistrement « ne correspond pas » : l’hôte a été doublé par l’hébergeur DNS, ou la valeur a été coupée. Essayez l’hôte court (
brevo1._domainkey), puis le nom complet. - Plusieurs enregistrements DMARC : les destinataires les ignorent tous. Fusionnez-les en un seul.
- La clé TXT est trop longue pour l’hébergeur : passez aux deux CNAME.
- Brevo passe, DMARC échoue encore : un autre service envoie en votre nom. Le lecteur de rapports DMARC montre lequel, à condition que les rapports vous parviennent.
Quand tout ce qui envoie en votre nom passe, suivez De p=none à p=reject.