Comment configurer SPF, DKIM et DMARC dans IONOS

Si votre domaine est enregistré chez IONOS (anciennement 1&1 IONOS), vos trois enregistrements d'authentification e-mail — SPF, DKIM et DMARC — se trouvent au même endroit : la section DNS de votre panneau de contrôle IONOS. Chacun est un enregistrement TXT ordinaire ; ce qui change de l'un à l'autre, c'est le nom d'hôte sous lequel vous le classez et l'origine de sa valeur. Ce guide montre exactement où IONOS place cet éditeur, quoi saisir dans le champ hôte pour le domaine racine, _dmarc et votre sélecteur DKIM, et comment confirmer les enregistrements une fois qu'ils sont actifs. Pour comprendre comment les trois enregistrements s'articulent sur le plan conceptuel, consultez l'explication de SPF, DKIM et DMARC ; cet article est le mode d'emploi spécifique à IONOS.

La réponse courte#

Vous allez ajouter trois enregistrements TXT dans le même éditeur DNS d'IONOS :

• SPF — un enregistrement TXT à la racine de votre domaine (hôte @ ou laissé vide), dont la valeur commence par v=spf1 et énumère tous les services autorisés à envoyer en votre nom.
• DKIM — un enregistrement TXT à selector._domainkey, où le nom du sélecteur et la longue valeur de clé publique proviennent tous deux de votre fournisseur de messagerie (Google Workspace, Microsoft 365, SendGrid, etc.). Vous n'inventez jamais cette valeur.
• DMARC — un enregistrement TXT à _dmarc, dont la valeur commence par v=DMARC1, en démarrant à p=none pour pouvoir surveiller avant d'appliquer.

Les enregistrements eux-mêmes sont identiques quel que soit l'hébergeur de votre DNS — la seule partie propre à IONOS est l'emplacement de l'éditeur et ce qu'il faut mettre dans le champ hôte. C'est ce que couvre le reste de ce guide.

Où IONOS conserve vos enregistrements DNS#

IONOS place la gestion du DNS sous votre domaine plutôt que dans un tableau de bord DNS indépendant, si bien que le chemin passe par la liste des domaines. Après vous être connecté à votre compte IONOS :

1. Ouvrez le menu principal et rendez-vous dans Domaines & SSL (les comptes plus anciens peuvent simplement l'intituler Domaines).
2. Dans la liste des domaines, cliquez sur celui que vous souhaitez configurer — ou sur l'icône en forme d'engrenage / de paramètres à côté.
3. Choisissez l'onglet ou la section DNS de ce domaine. Cela ouvre le tableau des enregistrements affichant vos entrées A, MX, CNAME et TXT existantes.
4. Cliquez sur Ajouter un enregistrement (parfois affiché comme Ajouter ou un +) et sélectionnez TXT comme type d'enregistrement.

Les libellés et la disposition du panneau de contrôle IONOS changent de temps à autre, si bien que la formulation exacte ou la position d'un bouton a pu se déplacer depuis la rédaction de ce guide — mais la séquence reste toujours la même : trouver le domaine, ouvrir ses enregistrements DNS, ajouter un nouvel enregistrement TXT. Si vous voyez un type d'enregistrement SPF dédié dans le menu déroulant, vous pouvez l'ignorer ; un simple enregistrement TXT est le choix universellement pris en charge et garde les trois enregistrements cohérents.

Chaque nouvel enregistrement TXT demande trois éléments : un nom d'hôte (parfois simplement Hôte ou Nom), une Valeur (le texte de l'enregistrement) et un TTL. Le TTL correspond à la durée pendant laquelle les résolveurs mettent l'enregistrement en cache ; IONOS le fixe par défaut à 1 heure, et cette valeur par défaut convient. Vous pouvez l'abaisser à 10 minutes pendant que vous testez activement pour que les changements apparaissent plus vite, puis le laisser à la valeur par défaut ensuite.

Configurer SPF dans IONOS#

SPF (Sender Policy Framework) est l'unique enregistrement TXT qui énumère les serveurs autorisés à envoyer du courrier en utilisant votre domaine. Dans l'éditeur d'enregistrements IONOS, ajoutez un enregistrement TXT avec ces champs :

• Nom d'hôte : @ — c'est ainsi qu'IONOS désigne le domaine racine (nu). Si IONOS refuse @ ou si la description du champ indique de le laisser vide pour la racine, un nom d'hôte vide fonctionne également. Ne mettez pas votre domaine complet ici.
• Valeur : votre chaîne SPF, qui commence toujours par v=spf1 et se termine par un mécanisme all.
• TTL : laissez à 1 heure.

Une valeur typique ressemble à ceci — mais la vôtre dépend entièrement des services par lesquels vous envoyez :

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Le ~all à la fin est un échec doux (accepter mais signaler les expéditeurs non autorisés) ; -all est un échec dur (les rejeter purement et simplement). Chaque service d'envoi que vous utilisez — votre hébergeur de messagerie, votre plateforme marketing, votre CRM, votre outil de facturation — doit avoir son include: dans cette unique chaîne. Comme la valeur doit être assemblée correctement, construisez-la avec le générateur d'enregistrement SPF plutôt qu'à la main.

Configurer DKIM dans IONOS#

DKIM (DomainKeys Identified Mail) publie une clé publique qui permet aux destinataires de vérifier que chaque message a été signé par vous et n'a pas été altéré en transit. Le sélecteur comme la valeur de clé sont générés par votre fournisseur de messagerie, si bien que la première étape se déroule en dehors d'IONOS : activez DKIM dans la console d'administration de votre fournisseur (Google Workspace, Microsoft 365, les paramètres d'authentification de votre ESP) et copiez l'hôte et la valeur qu'il vous fournit.

Le fournisseur vous remettra un hôte qui ressemble à selector1._domainkey.yourdomain.com et une longue valeur commençant par v=DKIM1. Dans IONOS, ajoutez un enregistrement TXT :

• Nom d'hôte : la partie sélecteur uniquement, sans votre domaine — par exemple selector1._domainkey ou google._domainkey. IONOS ajoute automatiquement votre domaine, si bien que saisir l'intégralité de selector1._domainkey.yourdomain.com le dédoublerait. Retirez le .yourdomain.com final de ce que votre fournisseur a affiché et collez le reste.
• Valeur : l'intégralité de la chaîne de clé publique fournie par votre fournisseur, exactement telle qu'elle est donnée — quelque chose comme v=DKIM1; k=rsa; p=MIGfMA0GCSq... (généralement bien plus long).
• TTL : laissez à 1 heure.

Deux points font trébucher. Premièrement, le nom du sélecteur est celui que votre fournisseur a choisi — google, selector1, s1, k1, une chaîne aléatoire — alors utilisez exactement celui figurant dans ses instructions plutôt que de le deviner. Deuxièmement, les valeurs DKIM sont longues ; collez le tout d'un seul coup et vérifiez que vous n'avez pas tronqué le début ni la fin. Certains fournisseurs vous donnent un enregistrement CNAME au lieu d'un enregistrement TXT pour DKIM ; dans ce cas, ajoutez-le comme CNAME dans le même éditeur IONOS avec l'hôte et la cible qu'ils indiquent, et n'ajoutez pas du tout de TXT pour DKIM.

Configurer DMARC dans IONOS#

DMARC (Domain-based Message Authentication, Reporting and Conformance) est l'enregistrement de politique qui relie SPF et DKIM à l'adresse « De » visible et indique aux destinataires quoi faire lorsqu'un message échoue. Il réside toujours à l'hôte fixe _dmarc. Dans l'éditeur IONOS, ajoutez un enregistrement TXT :

• Nom d'hôte : _dmarc — rien de plus. IONOS ajoute le domaine, ce qui donne _dmarc.yourdomain.com.
• Valeur : une chaîne DMARC commençant par v=DMARC1, démarrant en mode surveillance.
• TTL : laissez à 1 heure.

Une valeur de départ sûre ressemble à ceci :

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Le p=none signifie « ne prends aucune mesure pour l'instant, contente-toi de rapporter ». L'adresse rua= est l'endroit où sont envoyés les rapports agrégés quotidiens — pointez-la vers une boîte aux lettres que vous consultez réellement. Construisez la valeur avec le générateur d'enregistrement DMARC pour que les balises soient correctes, puis suivez le déploiement complet dans le guide DMARC étape par étape : restez à p=none pendant deux semaines, lisez les rapports agrégés jusqu'à ce que chaque flux légitime s'authentifie en alignement, puis resserrez à p=quarantine et enfin à p=reject. Ne publiez jamais p=reject dès le premier jour — vous enverriez votre propre courrier dans les spams avant d'avoir appris quels flux échouaient.

Vérifier les enregistrements après leur propagation#

Les changements DNS dans IONOS sont généralement visibles en quelques minutes, mais peuvent prendre jusqu'à une heure pour se propager complètement, en fonction du TTL. Une fois que vous avez ajouté les trois enregistrements, confirmez qu'ils se résolvent correctement avec le vérificateur SPF, DKIM et DMARC — il recherche les trois d'un coup et signale un enregistrement manquant, une erreur de syntaxe ou une entrée SPF en double. Si un enregistrement n'apparaît pas encore, attendez l'expiration du TTL et vérifiez à nouveau avant de conclure qu'il est erroné.

Obtenir les trois au vert est ce qui satisfait les exigences des expéditeurs de Google et Yahoo et protège votre réputation d'expéditeur contre l'usurpation. Mais l'authentification prouve seulement qui vous êtes — elle ne fait pas de vous un bon expéditeur. Un message parfaitement authentifié envoyé à une liste remplie d'adresses mortes atterrit tout de même dans les spams, alors associez des enregistrements propres à une liste propre.

Pièges courants dans IONOS#

• Mettre le domaine complet dans le champ hôte. IONOS ajoute automatiquement votre domaine. Saisissez @ pour le SPF racine, _dmarc pour DMARC et selector._domainkey pour DKIM — pas le something.yourdomain.com complet.
• Deux enregistrements SPF. Un seul enregistrement v=spf1 peut exister à la racine. Si IONOS affiche déjà un enregistrement SPF ou TXT issu d'une configuration précédente, modifiez celui-là plutôt que d'en ajouter un second.
• Deviner la valeur DKIM. Le sélecteur et la clé proviennent de votre fournisseur de messagerie. Il n'existe pas de valeur DKIM générique à coller — si vous n'avez pas encore activé DKIM dans la console de votre fournisseur, commencez par là.
• Faire passer DMARC directement à l'application. Commencez à p=none, surveillez, puis montez en puissance. L'application sans phase de surveillance est le moyen le plus rapide d'ensevelir le courrier légitime.
• Ne pas attendre le TTL. Un enregistrement peut sembler « manquant » simplement parce que l'ancienne réponse mise en cache n'a pas expiré. Laissez- lui jusqu'à une heure avant de vous lancer dans un dépannage.

Questions fréquentes#

Où ajouter les enregistrements SPF, DKIM et DMARC dans IONOS ?#

Connectez-vous à IONOS, ouvrez Domaines & SSL, cliquez sur votre domaine et accédez à sa section DNS. Utilisez Ajouter un enregistrement → TXT pour chacun d'eux. Les libellés et la disposition peuvent varier d'une version de l'interface IONOS à l'autre, si bien qu'un bouton a pu changer de place, mais le chemin passe toujours par la liste des enregistrements DNS du domaine. Définissez l'hôte sur @ (ou vide) pour SPF, _dmarc pour DMARC et le selector._domainkey de votre fournisseur pour DKIM.

Que dois-je saisir dans le champ hôte ou nom d'IONOS pour chaque enregistrement ?#

Pour SPF, saisissez @ pour le domaine racine — ou laissez le champ hôte vide si IONOS préfère cela pour la racine. Pour DMARC, saisissez _dmarc. Pour DKIM, saisissez uniquement la partie sélecteur fournie par votre prestataire, par exemple selector1._domainkey ou google._domainkey. Dans tous les cas, IONOS ajoute automatiquement votre domaine, donc ne tapez jamais l'intégralité de something.yourdomain.com dans le champ hôte.

D'où provient la valeur DKIM dans IONOS ?#

Pas d'IONOS. Vous activez DKIM dans la console d'administration de votre fournisseur de messagerie (Google Workspace, Microsoft 365, votre ESP), et c'est lui qui génère le sélecteur et la valeur de clé publique pour vous. Vous collez ensuite cette valeur dans un enregistrement TXT chez IONOS. IONOS ne fait qu'héberger l'enregistrement — la clé elle-même est émise par celui qui envoie vos e-mails.

Combien de temps faut-il pour que les changements DNS d'IONOS prennent effet ?#

Généralement quelques minutes, mais comptez jusqu'à une heure pour une propagation complète, en fonction du TTL. IONOS fixe le TTL par défaut à 1 heure ; vous pouvez l'abaisser à environ 10 minutes pendant vos tests pour que les changements apparaissent plus vite, puis le laisser à la valeur par défaut. Si un enregistrement n'apparaît pas tout de suite, attendez l'expiration du TTL avant de conclure à un problème, puis relancez le vérificateur.

Configurez correctement les trois enregistrements dans IONOS et les fournisseurs feront confiance à votre identité — mais une identité de confiance ne gagne la boîte de réception que lorsque la liste qui la sous-tend est propre. Passez vos adresses dans le vérificateur d'e-mails gratuit pour éliminer les boîtes aux lettres mortes et les fautes de frappe avant qu'elles ne rebondissent, et faites appel aux outils de délivrabilité gratuits chaque fois que vous devez générer ou revérifier un enregistrement.