SPF, DKIM et DMARC pour Google Workspace + cPanel

Un guide pratique à copier-coller pour les configurations hybrides où les utilisateurs envoient des e-mails via Google Workspace et où les sites web/scripts envoient via cPanel.

Sommaire

1) Présentation

2) SPF

3) DKIM (Google et cPanel)

4) DMARC

5) Phases de déploiement recommandées

6) Exemples prêts à coller

7) Valider et surveiller

8) Erreurs courantes et FAQ

1) Présentation

Rôle de chaque enregistrement

SPF Autorise les adresses IP/serveurs pouvant envoyer des e-mails pour votre domaine.

DKIM Signature cryptographique prouvant l'intégrité du message et l'identité du domaine.

DMARC Couche de politique et de rapports qui relie SPF/DKIM au De : domaine visible.

Principe clé : l'alignement

DMARC est validé si l'une des conditions suivantes est remplie : SPF ou DKIM est validé et le domaine authentifié est aligné avec le domaine visible From domaine visible.

Nous recommandons strict l'alignement strict pour une protection maximale.

Objectif pour une configuration hybride (Workspace + cPanel) : Autorisez les deux systèmes dans SPF, activez DKIM sur les deux, puis faites passer DMARC du mode de surveillance au mode d'application.

2) SPF (Sender Policy Framework)

Ce qu'il faut publier : un enregistrement TXT SPF à la racine (root) du domaine (hôte @).

Directive	Signification	Pourquoi
`include:_spf.google.com`	Autorise les serveurs d'envoi (MTA) de Google Workspace	Obligatoire pour les e-mails des utilisateurs envoyés via Gmail/Google
`ip4:XX.XX.XX.XX`	Autorise l'adresse IPv4 de votre serveur cPanel	Obligatoire pour les e-mails envoyés par PHP/Exim depuis votre serveur web
`ip6:YYYY:...:ZZZZ`	(facultatif) Autorise l'adresse IPv6 de votre serveur cPanel	À ajouter si des e-mails peuvent être émis via IPv6
`-all`	Rejet strict (hard fail) pour tous les autres	Empêche l'usurpation d'identité depuis des adresses IP non autorisées

Limite de requêtes DNS SPF : Vous disposez d'un maximum de 10 requêtes DNS. Évitez d'accumuler trop de include:s ou de fournisseurs imbriqués.

3) DKIM (DomainKeys Identified Mail)

Publiez un enregistrement TXT par système expéditeur. Chacun utilise un sélecteur unique (le libellé avant ._domainkey).

DKIM de Google Workspace

Console d'administration Google → Applications → Google Workspace → Gmail → Authentifier les e-mails (DKIM)
Générez la clé : sélecteur google, 2048 bits
Publiez l'enregistrement TXT : google._domainkey.yourdomain.tld → v=DKIM1; k=rsa; p=…
Cliquez sur Démarrer l'authentification une fois la propagation DNS effectuée

DKIM de cPanel

cPanel → Délivrabilité des e-mails → Activer DKIM
Il crée default._domainkey.yourdomain.tld → v=DKIM1; k=rsa; p=…
Assurez-vous que le domaine DKIM d= correspond au domaine visible de votre From domaine pour l'alignement DMARC

Pourquoi séparer les sélecteurs : Google et cPanel gèrent leurs propres clés et leur rotation. Des sélecteurs distincts évitent les collisions et simplifient le dépannage.

4) DMARC (politique et rapports)

Publiez un enregistrement TXT à l'adresse _dmarc.yourdomain.tld.

Balise	Options	Recommandation	Raison / Cas où elle n'est pas retenue
`p`	`none` / `quarantine` / `reject`	Début : `none` → puis `quarantine` → `reject`	Passer directement à `reject` peut bloquer des e-mails légitimes pendant la configuration
`sp`	identique à `p`	`none` au départ ; ensuite `reject`	Contrôle les sous-domaines ; appliquez la politique stricte une fois que vous êtes sûr de votre configuration
`adkim`	`r` (souple) / `s` (strict)	`s` (strict)	Le mode souple tolère des écarts de sous-domaine ; le mode strict est plus net et plus sûr
`aspf`	`r` / `s`	`s`	Un alignement strict réduit l'usurpation d'identité
`rua`	`mailto:…`	Activer	Les rapports agrégés XML quotidiens présentent toutes les sources d'envoi
`ruf`	`mailto:…`	Facultatif	Les échantillons de rapports forensiques peuvent être volumineux ; activez-les uniquement pour le débogage
`fo`	`0`, `1`, `d`, `s`	`1`	Générer un rapport en cas d'échec SPF/DKIM afin d'améliorer la visibilité
`pct`	0–100	Généralement à omettre	À utiliser uniquement lors d'une application progressive de la politique

5) Phases de déploiement recommandées

Phase 1 (surveillance) : p=none, collectez les rapports pendant 2–3 semaines
Phase 2 (Prudence) : p=quarantine, envisagez sp=reject
Phase 3 (Strict) : p=reject (et sp=reject) une fois que toutes les sources légitimes sont alignées

Condition de réussite : Si SPF ou ou DKIM est validé et est aligné avec le domaine visible de l'adresse From, DMARC est validé.

6) Exemples prêts à copier-coller

6.1 SPF (ajoutez les adresses IP de vos serveurs web)

v=spf1 include:_spf.google.com ip4:XX.XX.XX.XX -all

Si vous envoyez également des e-mails via IPv6 :

v=spf1 include:_spf.google.com ip4:XX.XX.XX.XX ip6:YYYY:YYYY::ZZZZ -all

6.2 DKIM (Google Workspace)

Hôte	Saisissez	Valeur
`google._domainkey.yourdomain.tld`	TXT	`v=DKIM1; k=rsa; p=<Google 2048-bit public key>`

6.3 DKIM (cPanel)

Hôte	Saisissez	Valeur
`default._domainkey.yourdomain.tld`	TXT	`v=DKIM1; k=rsa; p=<cPanel 2048-bit public key>`

6.4 DMARC (par phases)

Phase 1 – Surveillance

v=DMARC1; p=none; sp=none; adkim=s; aspf=s; rua=mailto:dmarc-reports@yourdomain.tld; ruf=mailto:dmarc-failures@yourdomain.tld; fo=1;

Phase 2 – Quarantaine

v=DMARC1; p=quarantine; sp=reject; adkim=s; aspf=s; rua=mailto:dmarc-reports@yourdomain.tld; fo=1;

Phase 3 – Rejet

v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:dmarc-reports@yourdomain.tld; fo=1;

6.5 Aide-mémoire de l'interface DNS

Enregistrement	Hôte / Nom	Saisissez	Valeur
SPF	@	TXT	`v=spf1 include:_spf.google.com ip4:XX.XX.XX.XX -all`
DKIM (Google)	`google._domainkey`	TXT	`v=DKIM1; k=rsa; p=…`
DKIM (cPanel)	`default._domainkey`	TXT	`v=DKIM1; k=rsa; p=…`
DMARC	`_dmarc`	TXT	`v=DMARC1; p=none; …`

6.6 Extraits de zone au format BIND (facultatif)

@   3600 IN TXT "v=spf1 include:_spf.google.com ip4:XX.XX.XX.XX -all"
google._domainkey 3600 IN TXT "v=DKIM1; k=rsa; p=<GooglePublicKey>"
default._domainkey 3600 IN TXT "v=DKIM1; k=rsa; p=<cPanelPublicKey>"
_dmarc 3600 IN TXT "v=DMARC1; p=none; sp=none; adkim=s; aspf=s; rua=mailto:dmarc-reports@yourdomain.tld; fo=1;"

7) Valider et surveiller

Vérifications rapides

SPF: MXToolbox SPF
DMARC: MXToolbox DMARC
Gmail : envoyez un message de test → menu du message → Show original → vérifiez SPF=PASS, DKIM=PASS, DMARC=PASS

Consulter vos rapports

Les rapports agrégés rua arrivent chaque jour au format XML. Analysez-les avec :

dmarcian, Postmark DMARC, EasyDMARC

8) Erreurs courantes et FAQ

N’oubliez pas votre serveur web dans le SPF. Si les e-mails envoyés via PHP/Exim ne sont pas autorisés, le DMARC peut échouer même si la configuration Google est parfaite.

Évitez de passer trop vite à p=reject. Monitor first, then enforce once all legitimate sources align.

What is “alignment” exactly?

For SPF: the domain in the MAIL FROM / le Return-Path doit correspondre (de manière stricte) au domaine From visible. Pour DKIM : le d= domaine figurant dans la signature doit correspondre au domaine From visible. Nous recommandons aspf=s et adkim=s par souci de clarté et de sécurité.

Dois-je utiliser les rapports `ruf` (forensiques) ?

Facultatif. Ces rapports peuvent être volumineux et inclure des échantillons de messages. Utilisez-les lorsque vous diagnostiquez activement des échecs, puis supprimez-les ou limitez leur usage.

La redirection casse SPF : DMARC échouera-t-il ?

La redirection casse souvent SPF, mais DKIM est toujours validé si les signatures sont conservées, de sorte que DMARC peut tout de même être validé. C’est pourquoi il est essentiel d’activer DKIM partout.

Assistance : Si vous êtes client d’IndicHosts.net, ouvrez un ticket : nous vérifierons votre DNS, vos rapports DKIM et DMARC, et vous recommanderons le niveau d’application adapté à votre domaine.

SPF, DKIM et DMARC pour Google Workspace + cPanel (guide complet)

SPF, DKIM et DMARC pour Google Workspace + cPanel

1) Présentation

Rôle de chaque enregistrement

Principe clé : l'alignement

2) SPF (Sender Policy Framework)

3) DKIM (DomainKeys Identified Mail)

DKIM de Google Workspace

DKIM de cPanel

4) DMARC (politique et rapports)

5) Phases de déploiement recommandées

6) Exemples prêts à copier-coller

6.1 SPF (ajoutez les adresses IP de vos serveurs web)

6.2 DKIM (Google Workspace)

6.3 DKIM (cPanel)

6.4 DMARC (par phases)

6.5 Aide-mémoire de l'interface DNS

6.6 Extraits de zone au format BIND (facultatif)

7) Valider et surveiller

Vérifications rapides

Consulter vos rapports

8) Erreurs courantes et FAQ

What is “alignment” exactly?

Dois-je utiliser les rapports `ruf` (forensiques) ?

La redirection casse SPF : DMARC échouera-t-il ?

Tell us what you need

SPF, DKIM et DMARC pour Google Workspace + cPanel (guide complet)

SPF, DKIM et DMARC pour Google Workspace + cPanel

1) Présentation

Rôle de chaque enregistrement

Principe clé : l'alignement

2) SPF (Sender Policy Framework)

3) DKIM (DomainKeys Identified Mail)

DKIM de Google Workspace

DKIM de cPanel

4) DMARC (politique et rapports)

5) Phases de déploiement recommandées

6) Exemples prêts à copier-coller

6.1 SPF (ajoutez les adresses IP de vos serveurs web)

6.2 DKIM (Google Workspace)

6.3 DKIM (cPanel)

6.4 DMARC (par phases)

6.5 Aide-mémoire de l'interface DNS

6.6 Extraits de zone au format BIND (facultatif)

7) Valider et surveiller

Vérifications rapides

Consulter vos rapports

8) Erreurs courantes et FAQ

What is “alignment” exactly?

Dois-je utiliser les rapports ruf (forensiques) ?

La redirection casse SPF : DMARC échouera-t-il ?

Tell us what you need

Dois-je utiliser les rapports `ruf` (forensiques) ?