DKIM, SPF et DMARC pour Google Workspace : la mise en place complète

Un domaine Google Workspace tout neuf envoie du courrier qui n’est pas signé en votre nom. Tant que DKIM n’est pas activé, Google signe avec un domaine à lui, et DMARC ne peut pas s’appuyer sur cette signature. La mise en place demande un quart d’heure de travail et jusqu’à deux jours d’attente. Ce guide suit la procédure de Google, relue sur ses pages d’aide le 14 novembre 2026.

Avant de commencer

Il vous faut un compte super administrateur et l’accès au DNS de votre domaine. Un point surprend : après l’activation de Gmail pour une nouvelle organisation, Google demande d’attendre 24 à 72 heures avant de pouvoir générer une clé DKIM. Essayer plus tôt donne une erreur disant que l’enregistrement n’a pas été créé.

1. SPF

Publiez un seul enregistrement TXT sur le domaine lui-même :

v=spf1 include:_spf.google.com ~all

Si d’autres services envoient du courrier en votre nom (un outil de lettres d’information, un outil de facturation), leur include: va dans le même enregistrement : un domaine ne doit avoir qu’un seul enregistrement SPF. Le générateur SPF gratuit le construit et compte les requêtes DNS, limitées à dix.

2. Générer la clé DKIM

Dans la console d’administration Google, ouvrez Menu → Applications → Google Workspace → Gmail, puis Authentifier les e-mails. Choisissez le domaine, puis appuyez sur Générer un nouvel enregistrement. Les libellés sont ceux de la console en français ; en anglais : Authenticate email, Generate New Record.

Longueur de clé : choisissez 2048 si votre hébergeur DNS l’accepte, 1024 sinon. Google exige au moins 1024 bits pour remettre aux comptes Gmail personnels et recommande 2048.
Sélecteur : gardez google, sauf si une clé de ce nom existe déjà sur le domaine.

La console affiche un nom d’hôte, google._domainkey, et une valeur qui commence par v=DKIM1; k=rsa; p=.

3. Publier la clé

Créez chez votre hébergeur DNS un enregistrement TXT avec ce nom d’hôte et cette valeur. Une clé de 2048 bits dépasse 255 caractères, la limite d’une chaîne TXT : la plupart des hébergeurs la découpent pour vous, quelques-uns la tronquent. Si la clé est coupée, les signatures échouent. Le vérificateur DKIM lit la clé publiée et vous donne sa longueur.

Chaque domaine et chaque alias de domaine a besoin de sa propre clé.

4. Démarrer la signature

Revenez à Authentifier les e-mails et appuyez sur Démarrer l’authentification (Start authentication). Cela peut prendre jusqu’à 48 heures après la modification DNS. Quand tout fonctionne, l’état indique que les e-mails sont authentifiés avec DKIM.

Tant que ce bouton n’est pas pressé, rien n’est signé avec votre domaine, même si l’enregistrement est publié. C’est l’oubli le plus fréquent.

5. Vérifier un vrai message

Envoyez un message à une adresse Gmail qui n’est pas la vôtre (un essai envoyé à soi-même ne prouve rien), ouvrez-le, choisissez Afficher l’original, et cherchez dkim=pass avec votre domaine dans l’en-tête Authentication-Results. Ou collez les en-têtes dans l’analyseur d’en-têtes d’e-mail.

6. DMARC

Commencez par observer :

_dmarc  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.example"

Google demande aux expéditeurs en masse, ceux qui envoient plus de 5 000 messages par jour à des comptes Gmail, d’avoir SPF, DKIM et DMARC ; tout expéditeur doit avoir SPF ou DKIM. Une politique p=none satisfait l’exigence mais n’arrête aucune usurpation : lisez les rapports pendant deux semaines, puis suivez De p=none à p=reject.

Ce qui se passe mal

La console dit que l’authentification n’est pas active : l’enregistrement est publié mais le bouton de démarrage n’a jamais été pressé, ou la modification DNS ne s’est pas encore propagée.
Une clé tronquée : l’hébergeur a coupé la valeur à 255 caractères. Publiez-la en plusieurs chaînes entre guillemets, ou utilisez une clé de 1024 bits.
DKIM passe, DMARC échoue : le message a été envoyé par un autre service avec votre adresse. Chaque service doit signer avec votre domaine : voyez SPF, DKIM et DMARC expliqués.

Une fois les enregistrements en place, la vérification complète de l’e-mail lit les trois d’un coup.