Comment configurer SPF, DKIM et DMARC dans Porkbun

La configuration de SPF, DKIM et DMARC dans Porkbun se résume à la publication de trois enregistrements TXT dans un éditeur DNS épuré. Porkbun est un registrar apprécié des développeurs, si bien que ses commandes DNS sont d'une simplicité rafraîchissante — pas de ventes additionnelles, pas de menus enfouis, juste une liste déroulante de type, un champ host et une case answer. Les enregistrements eux-mêmes sont identiques à ce que vous ajouteriez chez n'importe quel autre hébergeur ; ce qui change, c'est uniquement où vous cliquez et ce qui va dans le champ host. Ce guide passe en revue les trois, dans le bon ordre, avec la nomenclature propre à Porkbun qu'il faut respecter.

La réponse courte#

L'authentification des e-mails repose sur trois enregistrements TXT distincts, et aucun d'eux n'est propre à Porkbun :

• SPF — un enregistrement TXT à la racine de votre domaine (laissez le champ host vide), dont la valeur commence par v=spf1.
• DKIM — un enregistrement TXT à <selector>._domainkey, où le sélecteur et la longue valeur de clé publique proviennent tous deux de votre fournisseur de messagerie, et non de Porkbun.
• DMARC — un enregistrement TXT à _dmarc, dont la valeur commence par v=DMARC1, et que vous démarrez toujours à p=none.

Dans Porkbun, vous ajoutez les trois depuis Domain Management → Details → DNS Records. Les seules différences d'un enregistrement à l'autre sont le nom d'hôte et la valeur. Réglez correctement le champ host et tout le reste suit. Pour le « pourquoi » conceptuel, consultez l'explication de SPF, DKIM et DMARC ; cet article en est la version Porkbun, bouton par bouton.

Où Porkbun conserve vos enregistrements DNS#

Porkbun intègre le DNS à son tableau de bord principal des domaines plutôt que d'en faire un produit séparé, ce qui accélère la recherche. Une fois connecté :

1. Ouvrez Domain Management depuis le menu du compte — il liste chaque domaine de votre compte.
2. Repérez le domaine que vous authentifiez et cliquez sur sa commande Details (la ligne dépliable, parfois représentée par un chevron ou un lien « Details »).
3. Dans le panneau déplié, choisissez DNS Records (il peut aussi être libellé « Edit » pour le DNS). Cela ouvre l'éditeur où les enregistrements existants sont listés et où un petit formulaire permet d'en ajouter un nouveau.

Le formulaire d'ajout d'enregistrement comporte trois parties qui comptent pour l'authentification : une liste déroulante Type (choisissez TXT), un champ Host (le sous-domaine sur lequel l'enregistrement se trouve) et un champ Answer (également appelé Content ou Value dans certaines vues — c'est lui qui contient le texte de l'enregistrement). Il y a aussi un champ TTL ; la valeur par défaut convient, alors n'y touchez pas.

La seule convention Porkbun à bien assimiler : le champ Host est relatif à votre domaine, et vous le laissez vide pour la racine. Porkbun ne veut pas que vous saisissiez le domaine complet dans le champ host. C'est précisément cette habitude qui fait trébucher les gens, aussi les sections ci-dessous détaillent exactement ce qu'il faut saisir pour chaque enregistrement.

Publier votre enregistrement SPF dans Porkbun#

Le SPF déclare quels serveurs sont autorisés à envoyer du courrier en utilisant votre domaine. C'est un unique enregistrement TXT qui réside à la racine de votre domaine — et dans l'éditeur de Porkbun, la racine du domaine correspond à un champ Host vide.

D'abord, réglez correctement votre valeur. Le SPF doit lister chaque service qui envoie du courrier en votre nom : votre plateforme de messagerie, votre outil marketing, votre fournisseur transactionnel. Plutôt que d'assembler à la main les mécanismes include: en risquant une faute de frappe, construisez-le avec le générateur gratuit d'enregistrement SPF, qui produit un unique enregistrement valide à partir des expéditeurs que vous choisissez.

Une valeur SPF terminée ressemble à ceci :

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Pour la publier dans Porkbun :

1. Dans l'éditeur DNS Records, réglez Type sur TXT.
2. Laissez le champ Host vide (cela cible la racine du domaine). Si Porkbun affiche votre domaine en placeholder grisé, c'est l'indice que vide = racine.
3. Collez la chaîne v=spf1 … complète dans le champ Answer.
4. Enregistrez l'enregistrement.

Ce ~all à la fin est un soft-fail ; -all est un hard-fail qui indique aux destinataires de rejeter tout ce qui n'est pas listé. Commencez par ~all le temps de confirmer que chaque expéditeur est bien inclus, puis renforcez vers -all une fois que vos rapports sont propres.

Ajouter votre enregistrement DKIM dans Porkbun#

Le DKIM appose une signature cryptographique sur chaque message ; vous publiez la clé publique correspondante dans le DNS pour que les destinataires puissent la vérifier. C'est l'enregistrement dont les valeurs proviennent entièrement de votre fournisseur de messagerie — Google Workspace, Microsoft 365, SendGrid, Mailgun, et ainsi de suite. Porkbun ne peut pas générer de clé DKIM pour vous, et aucun générateur ne le peut non plus, car la moitié privée réside à l'intérieur de votre plateforme d'envoi. Votre fournisseur vous remet deux choses : un sélecteur et une valeur de clé publique.

Le host de l'enregistrement se construit à partir du sélecteur, en suivant le motif fixe <selector>._domainkey. Supposons que votre fournisseur vous donne le sélecteur google — l'enregistrement DKIM pour Google Workspace utilise généralement ce sélecteur. Le nom complet de l'enregistrement devient google._domainkey.yourdomain.com.

Voici la partie propre à Porkbun : comme le champ Host est relatif à votre domaine, vous ne saisissez que la portion avant votre domaine. Ainsi, pour cet exemple, vous taperiez :

google._domainkey

dans le champ Host — et non le google._domainkey.yourdomain.com complet. Porkbun ajoute votre domaine automatiquement.

Étapes :

1. Dans la console d'administration de votre fournisseur de messagerie, trouvez la configuration DKIM (parfois « email authentication » ou « domain authentication ») et copiez le sélecteur et la valeur de clé publique qu'elle vous fournit.
2. Dans l'éditeur DNS Records de Porkbun, réglez Type sur TXT.
3. Dans Host, saisissez <selector>._domainkey — par exemple s1._domainkey ou google._domainkey, en utilisant le sélecteur qu'a spécifié votre fournisseur.
4. Collez la valeur de clé publique du fournisseur (elle commence généralement par v=DKIM1; k=rsa; p=… et est très longue) dans le champ Answer. Collez-la en entier, exactement telle qu'elle vous est donnée — un seul caractère modifié casse la signature.
5. Enregistrez.

Un enregistrement DKIM que vous collez ressemblera à cette forme, même si votre valeur p= sera bien plus longue :

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ...

Publier votre enregistrement DMARC dans Porkbun#

Le DMARC relie SPF et DKIM à l'adresse « From » visible, indique aux destinataires quoi faire du courrier qui échoue, et vous envoie des rapports. Il réside au nom d'hôte fixe _dmarc, donc dans le champ Host de Porkbun vous saisissez exactement :

_dmarc

et rien de plus. Porkbun le transforme en _dmarc.yourdomain.com pour vous.

Construisez la valeur avec le générateur gratuit d'enregistrement DMARC afin que la syntaxe des balises soit correcte, et commencez toujours par p=none. Un enregistrement de départ sûr :

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Étapes :

1. Dans l'éditeur DNS Records, réglez Type sur TXT.
2. Dans Host, saisissez _dmarc.
3. Collez la valeur v=DMARC1; p=none; rua=… dans le champ Answer, en utilisant une véritable boîte aux lettres que vous pouvez consulter comme adresse de rapport rua=.
4. Enregistrez.

p=none n'applique encore aucune contrainte — il active les rapports agrégés quotidiens qui rendent un déploiement sûr possible. Laissez-le ainsi pendant quelques semaines, lisez les rapports pour confirmer que chaque flux de courrier légitime s'authentifie en alignement, puis faites monter la politique vers quarantine et enfin reject. La séquence complète, y compris la manière d'interpréter ce qui revient, est traitée dans le guide de configuration DMARC pas à pas et son compagnon sur comment lire les rapports DMARC.

Les trois enregistrements en un coup d'œil#

Voici chaque enregistrement côte à côte, montrant exactement ce qui va dans le champ Host de Porkbun par rapport à ce qui relève du champ Answer.

Remarquez le schéma : seuls les enregistrements DMARC et DKIM reçoivent un nom d'hôte, et seuls la valeur DKIM et le sélecteur proviennent d'une source externe. Le host SPF est vide parce que le SPF réside toujours à la racine du domaine.

Vérifier que les enregistrements se sont résolus#

Les modifications DNS chez Porkbun se propagent généralement vite, mais accordez- leur de quelques minutes à quelques heures avant de leur faire confiance. Plutôt que d'inspecter à l'œil la zone brute, passez les trois au vérificateur gratuit SPF, DKIM et DMARC — il confirme que chaque enregistrement est présent, bien formé et lisible par les destinataires, et il signale les erreurs classiques : un enregistrement SPF en double, une valeur DKIM avec un saut de ligne parasite, ou un enregistrement DMARC placé au mauvais host.

Si le vérificateur ne trouve pas un enregistrement, le coupable habituel chez Porkbun est le champ Host : soit vous avez saisi le domaine complet là où il aurait dû être vide ou relatif, soit vous avez placé le sélecteur DKIM au mauvais endroit. Rouvrez l'enregistrement, confirmez que le host est exactement vide pour le SPF, _dmarc pour le DMARC, ou <selector>._domainkey pour le DKIM, et enregistrez à nouveau.

Porkbun expose aussi une API DNS complète, donc si vous gérez de nombreux domaines vous pouvez scripter ces enregistrements plutôt que de cliquer à travers chacun — pratique quand vous déployez la même configuration d'authentification sur tout un portefeuille. Le contenu des enregistrements que vous enverriez via l'API est identique à ce qui figure ci-dessus.

Pourquoi se donner la peine de bien régler les trois#

Depuis 2024, les exigences des expéditeurs de Google et Yahoo ont rendu cela non facultatif. Tout expéditeur vers Gmail a besoin de SPF ou de DKIM, et les expéditeurs en masse — plus de 5 000 messages par jour — doivent avoir les trois, avec DMARC et alignement, plus la désinscription en un clic sur le courrier marketing. Manquez-les et les fournisseurs modernes rejettent de plus en plus le courrier purement et simplement.

Mais l'authentification prouve seulement qui vous êtes — elle ne fait pas de vous un bon expéditeur. Un message parfaitement authentifié provenant d'un domaine à la mauvaise réputation d'expéditeur ou d'une liste pleine d'adresses mortes finira quand même dans le spam. Traitez ces trois enregistrements Porkbun comme le ticket d'entrée, puis faites le travail qui mérite le placement : maintenez votre taux de plaintes pour spam bas, et nettoyez votre liste pour ne pas adresser de courrier à des adresses qui rebondissent. Le guide de délivrabilité couvre le reste.

Foire aux questions#

Que dois-je saisir dans le champ Host de Porkbun pour un enregistrement SPF ?#

Laissez-le vide. Le SPF est un enregistrement TXT qui réside à la racine de votre domaine, et dans Porkbun le champ Host vide cible la racine — Porkbun renseigne automatiquement votre domaine. Ne saisissez pas le nom de votre domaine dans le champ host, et ne publiez jamais un second enregistrement v=spf1 ; s'il en existe déjà un, modifiez-le pour y ajouter le nouvel expéditeur.

D'où provient la valeur DKIM dans Porkbun ?#

Entièrement de votre fournisseur de messagerie, et non de Porkbun ni d'un quelconque générateur. Votre ESP — Google Workspace, Microsoft 365, SendGrid, Mailgun, et ainsi de suite — vous fournit un sélecteur et une longue valeur de clé publique. Dans Porkbun, vous définissez le Host sur <selector>._domainkey et vous collez la valeur du fournisseur, telle qu'elle vous est donnée, dans le champ Answer. Porkbun se contente de stocker la clé ; il ne peut pas en créer une.

Comment saisir un enregistrement DMARC dans Porkbun ?#

Ajoutez un enregistrement TXT avec le champ Host défini sur _dmarc et le champ Answer défini sur votre valeur DMARC, commençant par v=DMARC1; p=none; rua=mailto:you@yourdomain.com. Porkbun transforme _dmarc en _dmarc.yourdomain.com pour vous. Commencez toujours par p=none afin de surveiller grâce aux rapports avant d'appliquer une politique, puis renforcez vers quarantine et reject une fois que les rapports sont propres.

Pourquoi le vérificateur ne trouve-t-il pas les enregistrements que je viens d'ajouter dans Porkbun ?#

Généralement l'une de deux choses : le DNS ne s'est pas encore propagé — attendez de quelques minutes à quelques heures — ou le champ Host est incorrect. Vérifiez que le host est vide pour le SPF, _dmarc pour le DMARC et <selector>._domainkey pour le DKIM, sans aucun domaine complet saisi. Relancez le vérificateur SPF, DKIM et DMARC après correction et enregistrement.

Authentifier votre domaine dans Porkbun fait en sorte que votre courrier soit digne de confiance ; c'est une liste propre qui le fait délivrer. Passez vos adresses au vérificateur d'e-mails gratuit pour éliminer les adresses mortes et les fautes de frappe avant qu'elles ne rebondissent — car une identité de confiance ne mérite la boîte de réception que lorsque la liste qui la sous-tend est propre. Explorez tous les outils gratuits de délivrabilité pour générer et vérifier chacun des enregistrements ci-dessus.