Comment configurer SPF, DKIM et DMARC dans Bluehost

Configurer SPF, DKIM et DMARC dans Bluehost, c'est en réalité une seule tâche effectuée trois fois : vous ajoutez un enregistrement TXT dans l'éditeur DNS de Bluehost, et la seule chose qui change à chaque tour, c'est ce que vous saisissez dans le champ hôte et la valeur que vous collez. Les trois enregistrements eux-mêmes ne sont pas propres à Bluehost — SPF, DKIM et DMARC fonctionnent de façon identique quel que soit l'opérateur de votre DNS. Ce qui est propre à Bluehost, c'est l'emplacement de l'éditeur, ce que le champ hôte/nom attend pour le domaine racine par rapport à _dmarc et à un sélecteur DKIM, et une subtilité qui piège bon nombre de clients Bluehost : parce que Bluehost héberge tant de sites WordPress, votre domaine possède souvent déjà un enregistrement SPF dans lequel vous devez fusionner plutôt que d'en créer un doublon. Ce guide vous accompagne à travers les trois.

La version courte#

Les trois sont des enregistrements TXT que vous ajoutez au même endroit. Ce qui diffère, c'est le nom d'hôte et la provenance de la valeur :

• SPF — un enregistrement TXT sur le domaine racine (hôte @), dont la valeur commence par v=spf1. Construisez-le avec le générateur d'enregistrement SPF. Ne publiez qu'un seul.
• DKIM — un enregistrement TXT sur <selector>._domainkey, où le sélecteur et la longue valeur vous sont tous deux fournis par votre fournisseur d'e-mail. Vous ne rédigez jamais celui-ci vous-même.
• DMARC — un enregistrement TXT sur _dmarc, dont la valeur commence par v=DMARC1. Construisez-le avec le générateur d'enregistrement DMARC et commencez toujours à p=none.

Où Bluehost conserve vos enregistrements DNS#

Connectez-vous à votre compte Bluehost, ouvrez la section Domaines et sélectionnez le domaine à partir duquel vous envoyez du courrier. Quelque part sur l'écran de gestion de ce domaine se trouve une rubrique DNS — Bluehost l'a autrefois appelée l'Éditeur de zone DNS et simplement « DNS » dans le gestionnaire de compte plus récent. Ouvrez-la et vous verrez les enregistrements existants de la zone : l'enregistrement A de votre site, les enregistrements MX pour le courrier, et souvent un ou deux enregistrements TXT déjà présents.

Lorsque vous ajoutez un enregistrement, Bluehost affiche un petit formulaire : un menu déroulant Type (choisissez TXT), un champ Hôte ou Nom, la Valeur TXT et une TTL. Laissez la TTL sur sa valeur par défaut — elle définit seulement la durée pendant laquelle les résolveurs mettent l'enregistrement en cache. Les deux champs qui comptent sont l'hôte et la valeur, et bien renseigner l'hôte, c'est tout l'enjeu.

Bluehost ajoute votre domaine à tout ce que vous saisissez dans le champ hôte, donc @ désigne le domaine racine lui-même, et _dmarc devient _dmarc.votredomaine.com. Ne saisissez pas le domaine complet dans le champ hôte, sinon vous obtiendrez un nom en double comme _dmarc.votredomaine.com.votredomaine.com.

Ajouter votre enregistrement SPF dans Bluehost#

SPF répertorie les serveurs autorisés à envoyer du courrier au nom de votre domaine. C'est l'enregistrement où la subtilité Bluehost/WordPress fait des dégâts, alors lisez cette section avant de toucher à quoi que ce soit.

D'abord, vérifiez si un enregistrement SPF existe déjà. Dans la liste DNS, cherchez un enregistrement TXT sur le domaine racine dont la valeur commence par v=spf1. Sur un hébergement Bluehost, il y en a très souvent déjà un — la plateforme provisionne fréquemment un enregistrement SPF pour que le courrier du serveur lui-même (notifications WordPress, messages de formulaire de contact, courrier cPanel) s'authentifie. Il ressemble généralement à ceci :

v=spf1 +a +mx +ip4:XXX.XXX.XXX.XXX ~all

Si cet enregistrement existe et que vous voulez désormais envoyer via un fournisseur d'e-mail — Google Workspace, un ESP marketing, un service transactionnel — vous devez fusionner son include dans l'enregistrement que vous avez déjà. N'ajoutez pas un second enregistrement SPF : un domaine ne peut en publier qu'un seul, et un second rend les deux invalides, de sorte que SPF échoue pour tout le monde. C'est l'erreur SPF la plus courante sur Bluehost.

Un enregistrement fusionné conserve les mécanismes existants et ajoute l'include du fournisseur avant le all final :

v=spf1 +a +mx +ip4:XXX.XXX.XXX.XXX include:_spf.google.com ~all

S'il n'existe aucun enregistrement SPF, vous partez de zéro : cliquez sur Ajouter un enregistrement, choisissez TXT, définissez l'hôte sur @ et collez un enregistrement répertoriant uniquement les sources que vous utilisez réellement. Laissez le générateur d'enregistrement SPF l'assembler — choisissez vos fournisseurs et il produit un enregistrement valide unique avec les includes dans le bon ordre, ce qui est plus sûr que de l'éditer à la main.

Le ~all à la fin est un soft-fail (accepter mais marquer comme suspect) ; -all est un hard-fail. Le soft-fail est la valeur par défaut sûre tant que vous confirmez que chaque expéditeur légitime est bien répertorié.

Ajouter votre enregistrement DKIM dans Bluehost#

DKIM publie une clé publique afin que les serveurs de réception puissent vérifier une signature que votre fournisseur ajoute à chaque message. Le point important à comprendre : le sélecteur et la valeur proviennent tous deux de votre fournisseur d'e-mail, ni de Bluehost ni de vous. Vous ne pouvez pas inventer un enregistrement DKIM — activez DKIM dans la console d'administration de votre ESP ou de votre fournisseur de messagerie, et il vous montrera exactement ce qu'il faut publier.

Ce que votre fournisseur vous donne, c'est un hôte et une valeur qui ressemblent à ceci :

Host:  s1._domainkey
Value: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQ…(long key)…

Le sélecteur est la partie avant ._domainkey — ici s1, mais ce pourrait être google, k1, dkim, selector1, ou tout autre nom choisi par votre fournisseur. Dans Bluehost, cliquez sur Ajouter un enregistrement, choisissez TXT, saisissez la chaîne d'hôte entière (s1._domainkey) dans le champ Hôte/Nom, et collez la valeur du fournisseur exactement telle qu'elle vous a été fournie dans le champ Valeur TXT. Copiez la clé en entier — elle est longue, et une clé tronquée échoue silencieusement à la vérification.

Si vous envoyez via plus d'un service, chacun vous fournit son propre sélecteur, si bien que deux ou trois enregistrements _domainkey distincts, c'est normal — contrairement à SPF, DKIM n'est pas limité à un seul enregistrement par domaine, car chacun réside sur son propre hôte de sélecteur.

Ajouter votre enregistrement DMARC dans Bluehost#

DMARC relie SPF et DKIM à l'adresse « From » visible, indique aux serveurs de réception quoi faire du courrier qui échoue, et vous envoie des rapports. C'est un enregistrement TXT unique sur l'hôte _dmarc.

Cliquez sur Ajouter un enregistrement, choisissez TXT, définissez le champ Hôte/Nom sur _dmarc (Bluehost ajoute votre domaine pour former _dmarc.votredomaine.com), et collez une valeur de départ :

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

p=none est délibéré. Cela ne change rien à la manière dont votre courrier est traité — cela active simplement les rapports agrégés quotidiens afin que vous puissiez observer quels expéditeurs passent et lesquels échouent avant d'appliquer quoi que ce soit. Publier p=reject dès le premier jour, avec DKIM fraîchement ajouté et SPF auquel il manque peut-être encore un expéditeur, c'est ainsi que l'on envoie accidentellement son propre courrier dans les indésirables. Le générateur d'enregistrement DMARC construira un enregistrement de départ correct et définira l'adresse de rapport pour vous.

Une fois que les rapports sont restés propres pendant quelques semaines — chaque flux légitime passant avec SPF ou DKIM aligné — vous faites passer la politique à p=quarantine, puis finalement à p=reject. La séquence complète, y compris le fonctionnement de l'alignement et la manière d'éviter les erreurs classiques, se trouve dans le guide de déploiement DMARC étape par étape, et une fois que les rapports commencent à arriver, comment lire les rapports DMARC explique ce que le XML vous indique.

Vérifiez que les enregistrements se résolvent#

Les modifications DNS dans Bluehost apparaissent généralement en quelques minutes, mais leur propagation peut prendre quelques heures ; ne paniquez donc pas si une requête revient vide au début. Lorsque vous êtes prêt, passez les trois par le vérificateur SPF, DKIM et DMARC. Il vous indique si chaque enregistrement est trouvé, s'il est syntaxiquement valide et — point crucial pour SPF — si vous avez accidentellement publié plus d'un enregistrement ou dépassé la limite de dix requêtes DNS que trop d'include peuvent déclencher.

Voici quelques éléments que le vérificateur détectera et qui passent facilement inaperçus sur Bluehost :

• Un second enregistrement SPF résiduel issu de la valeur par défaut de la plateforme et coexistant avec celui que vous avez ajouté. Fusionnez-les en un seul.
• Une clé DKIM tronquée au collage, ou un sélecteur qui ne correspond pas à celui avec lequel votre fournisseur signe réellement.
• Un hôte _dmarc que Bluehost a développé de façon étrange, laissant l'enregistrement sous le mauvais nom.

Pourquoi s'en soucier — le socle de base 2026#

Ce n'est pas de l'entretien courant. Selon les exigences pour les expéditeurs de Google et Yahoo, tout expéditeur a besoin d'au moins SPF ou DKIM, et les expéditeurs en masse — plus de 5 000 messages par jour vers Gmail — doivent avoir les trois, plus l'alignement et la désinscription en un clic. Bien configurer les trois dans Bluehost, c'est ce qui permet aux serveurs de réception d'avoir la certitude que votre courrier est réellement le vôtre — mais c'est le ticket d'entrée, pas tout le spectacle. L'authentification prouve l'identité ; c'est votre réputation d'expéditeur et la qualité de votre liste qui déterminent si vous atterrissez dans la boîte de réception.

Foire aux questions#

Où ajouter les enregistrements SPF, DKIM et DMARC dans Bluehost ?#

Les trois s'ajoutent dans l'éditeur DNS de votre domaine. Connectez-vous, ouvrez la section Domaines, sélectionnez le domaine et trouvez sa rubrique DNS ou Éditeur de zone, puis utilisez Ajouter un enregistrement et choisissez TXT. Définissez le champ Hôte/Nom sur @ pour SPF, sur selector._domainkey pour DKIM et sur _dmarc pour DMARC, puis collez chaque valeur. Bluehost a réorganisé son panneau de contrôle à plusieurs reprises, si bien que les libellés exacts peuvent différer ou avoir été déplacés, mais vous cherchez toujours l'éditeur DNS propre au domaine et un type d'enregistrement TXT.

Bluehost a déjà un enregistrement SPF — dois-je en ajouter un autre ?#

Non. Un domaine ne peut publier qu'un seul enregistrement SPF, et un second invalide les deux. Bluehost provisionne souvent un enregistrement SPF par défaut pour le courrier du serveur lui-même ; ainsi, lorsque vous ajoutez un fournisseur d'e-mail, vous modifiez cet enregistrement existant et y fusionnez l'include du fournisseur — par exemple en ajoutant include:_spf.google.com avant le ~all final. Utilisez le générateur d'enregistrement SPF pour assembler un enregistrement correct unique, puis collez-le par-dessus l'ancienne valeur plutôt que de créer une nouvelle entrée.

Que dois-je saisir dans le champ hôte pour DMARC dans Bluehost ?#

Saisissez _dmarc dans le champ Hôte ou Nom. Bluehost ajoute automatiquement votre domaine, produisant _dmarc.votredomaine.com, l'emplacement où l'enregistrement doit résider. Ne saisissez pas vous-même le domaine complet, sinon vous créeriez un nom en double. Commencez la valeur par v=DMARC1; p=none; avec une adresse de rapport rua= afin de pouvoir surveiller avant d'appliquer une politique.

D'où provient la valeur de mon enregistrement DKIM ?#

De votre fournisseur d'e-mail, jamais de Bluehost. Activez DKIM dans la console d'administration de votre ESP ou de votre fournisseur de messagerie, et il affichera le sélecteur exact (la partie avant ._domainkey) ainsi que la valeur de clé publique à publier. Vous copiez cet hôte et cette valeur dans un enregistrement TXT dans Bluehost, exactement tels qu'ils vous sont fournis. Si le fournisseur propose un CNAME au lieu d'une clé en ligne, publiez-le comme CNAME — l'essentiel est que les valeurs de signature proviennent toujours du fournisseur, et non de quelque chose que vous rédigez.

Une fois que SPF, DKIM et DMARC sont actifs dans Bluehost et que le vérificateur montre les trois qui passent, vous avez prouvé votre identité — mais une identité propre n'atteint la boîte de réception que si la liste qui la sous-tend est propre elle aussi. Passez vos adresses au vérificateur d'e-mails gratuit pour éliminer les boîtes mortes et les fautes de frappe avant qu'elles ne génèrent des rebonds, car l'authentification ouvre la porte et l'hygiène de liste vous fait franchir le seuil.