SPF, DKIM et DMARC pour Mandrill (Mailchimp Transactional).

Pourquoi authentifier Mandrill (Mailchimp Transactional) ?

Authentifier votre domaine d'envoi Mandrill, c'est ce qui empêche le courrier transactionnel — réinitialisations de mot de passe, reçus, avis d'expédition — d'atterrir dans le dossier spam, et Mailchimp l'impose désormais directement. Depuis février 2024, Gmail et Yahoo exigent de tout expéditeur en masse (environ 5 000 messages par jour ou plus) qu'il réussisse SPF, DKIM et DMARC avec alignement, et Microsoft a étendu des règles équivalentes à ses boîtes de réception grand public (Outlook/Hotmail/Live) en 2025. Mailchimp a réagi le 15 mars 2024 avec sa propre application des règles : les domaines d'envoi doivent publier les deux CNAME DKIM et un enregistrement DMARC, sinon Mandrill cesse d'envoyer sous votre domaine et réécrit à la place l'adresse From vers un sous-domaine mandrillapp.com (les réponses vous sont toujours renvoyées, mais votre domaine n'acquiert aucune réputation et les destinataires voient du courrier qui ne provient pas vraiment de vous). Il existe un piège propre à Mandrill qui rend DKIM non négociable : par défaut, l'expéditeur d'enveloppe / Return-Path se trouve sur un domaine de rebond mandrillapp.com, si bien que SPF réussit mais ne s'aligne jamais à votre domaine — DKIM est le seul mécanisme qui porte votre validation DMARC, à moins de configurer aussi un return-path personnalisé. Mettez DKIM, SPF et DMARC en place, et votre réputation comme votre placement en boîte de réception s'accumulent au bénéfice de votre propre domaine.

La réalité SPF pour Mandrill (Mailchimp Transactional)

Mandrill est un authentique fournisseur « include » — et c'est là qu'il diffère nettement de son cousin, Mailchimp Marketing (qui fonctionne uniquement en CNAME et n'a besoin d'aucun include SPF). Mailchimp Transactional exige explicitement include:spf.mandrillapp.com dans l'enregistrement SPF de votre domaine From — que vous utilisiez le return-path mandrillapp.com par défaut ou que vous en configuriez un personnalisé pour l'alignement. Publiez-le à l'intérieur de l'unique enregistrement SPF TXT du domaine, par exemple v=spf1 include:spf.mandrillapp.com ~all, en le fusionnant dans toute ligne v=spf1 existante plutôt que d'ajouter un second enregistrement SPF. La bonne nouvelle côté recherches DNS : spf.mandrillapp.com se résout en un enregistrement plat contenant uniquement des plages ip4: et ~all — aucun include imbriqué — il ne coûte donc qu'UNE seule de vos 10 recherches DNS SPF, et non les plusieurs que suggèrent certains guides plus anciens. La mise en garde importante : cet include fait réussir la vérification SPF brute face aux IP de Mandrill, mais par défaut vos messages utilisent un domaine de rebond mandrillapp.com comme Return-Path, de sorte que SPF est vérifié face au domaine de Mandrill et ne s'aligne PAS avec votre domaine organisationnel. Une réussite SPF non alignée ne contribue en rien à DMARC à elle seule — c'est pourquoi le flux de Mandrill s'appuie sur les CNAME DKIM, qui, eux, s'alignent. Si vous voulez que SPF s'aligne lui aussi (et qu'il survive à certains scénarios de transfert), configurez un sous-domaine de return-path/tracking personnalisé (un CNAME sur un sous-domaine pointant vers mandrillapp.com) ; cela déplace le Return-Path sur votre propre domaine, ce qui aligne SPF. En résumé : l'include est requis et a sa place dans votre SPF racine, mais traitez DKIM comme le mécanisme porteur et n'ajoutez le return-path personnalisé que si vous avez besoin d'un SPF aligné.

Deux façons de le configurer

Étape par étape

Enregistrements à ajouter

Mandrill (Mailchimp Transactional) génère les valeurs exactes dans son assistant de configuration — celles-ci illustrent la forme de ce que vous ajouterez chez votre hébergeur DNS.

Le budget de 10 requêtes DNS

SPF est plafonné à une limite stricte de 10 requêtes DNS — dépassez-la et il renvoie une permerror et cesse de valider partout. Voici ce que coûte la configuration de Mandrill (Mailchimp Transactional) sur ce budget.

Vérifiez que tout fonctionne réellement

Ne vous fiez pas uniquement aux coches vertes du tableau de bord — confirmez l'authentification sur un vrai message. Dans Mandrill, Settings → Domains → Sending Domains comporte un bouton Test DNS Settings qui valide SPF et DKIM ; l'écran Tracking/return-path a son propre bouton Test DNS Settings distinct si vous avez configuré un return-path personnalisé. Envoyez ensuite un message via l'API Mandrill ou en SMTP depuis une adresse sur votre domaine authentifié, ouvrez-le dans Gmail et choisissez ⋮ → Afficher l'original : vous devez obtenir DKIM: PASS avec d=yourdomain.com (via le sélecteur mte1/mte2) et DMARC: PASS. Si vous n'avez pas configuré de return-path personnalisé, SPF / mailed-by affichera mandrillapp.com et se lira comme non aligné — c'est attendu, et DKIM porte la validation DMARC. Vérifiez ponctuellement les enregistrements bruts avec dig CNAME mte1._domainkey.yourdomain.com et dig TXT _dmarc.yourdomain.com. Enfin, passez le domaine dans le {healthCheck} de Qualisend pour confirmer que l'include SPF, les deux CNAME DKIM et l'enregistrement DMARC se résolvent tous et maintiennent SPF sous la limite des 10 recherches, et une fois les rapports agrégés arrivés, déposez-en un dans le {dmarcAnalyzer} — Mailchimp Transactional / Mandrill devrait y apparaître comme une source alignée et validée.

Pièges courants

• Configuration DNS

  Le repli du 15 mars 2024 : si vous ne publiez pas les deux CNAME DKIM et un enregistrement DMARC, Mandrill cesse d'envoyer sous votre domaine et réécrit l'adresse From vers un sous-domaine mandrillapp.com (les réponses vous sont toujours acheminées, mais votre domaine n'acquiert aucune réputation). Compléter DKIM + DMARC, c'est ce qui stoppe la réécriture.

• Configuration DNS

  DKIM est passé de TXT à CNAME. Les anciens guides vous disent d'ajouter un unique enregistrement TXT à mandrill._domainkey avec une clé publique partagée — c'est la méthode historique. L'exigence actuelle est les deux CNAME mte1._domainkey → dkim1.mandrillapp.com et mte2._domainkey → dkim2.mandrillapp.com. Ne mélangez pas les deux.

• Casse l'authentification

  SPF réussit mais ne s'aligne pas par défaut. include:spf.mandrillapp.com fait réussir la vérification SPF brute face aux IP de Mandrill, mais le Return-Path par défaut est un domaine de rebond mandrillapp.com, de sorte que SPF n'est pas aligné à votre domaine et ne fait rien pour DMARC à lui seul. DKIM est le mécanisme aligné — n'ajoutez un sous-domaine de return-path personnalisé que si vous avez spécifiquement besoin d'un SPF aligné lui aussi.

• Configuration DNS

  Un domaine de return-path/tracking personnalisé DOIT être un sous-domaine. Le CNAME vers mandrillapp.com va sur quelque chose comme mail.yourdomain.com — ne mettez jamais votre domaine racine/apex en CNAME, ce qui détournerait toute votre zone (MX, web, tout).

• Configuration DNS

  Le proxy Cloudflare casse tout : réglez les deux CNAME DKIM (et tout CNAME de return-path/tracking) sur « DNS only » (nuage gris). Un CNAME proxifié en nuage orange ne se résoudra pas vers mandrillapp.com et Test DNS Settings échoue.

• Casse l'authentification

  Conservez exactement un enregistrement SPF. Si vous envoyez déjà via Google Workspace, Microsoft 365 ou un autre relais, fusionnez include:spf.mandrillapp.com dans cette unique ligne v=spf1 — deux enregistrements SPF TXT provoquent une PermError. C'est une seule recherche DNS, il s'empile donc à moindre coût.

• Configuration DNS

  Mandrill n'est PAS la même chose que l'authentification de domaine de Mailchimp Marketing. Ce sont des produits distincts avec des enregistrements différents : Mailchimp Marketing utilise des CNAME k2/k3._domainkey (vers dkim2/dkim3.mcsv.net) et aucun include SPF, tandis que Mandrill utilise des CNAME mte1/mte2._domainkey et EXIGE include:spf.mandrillapp.com. Configurez celui par lequel vous envoyez réellement (ou les deux — ils n'entrent pas en conflit).

• Configuration DNS

  Doublement du champ d'hôte : de nombreux registrars ajoutent automatiquement votre domaine, si bien que saisir mte1._domainkey.yourdomain.com devient mte1._domainkey.yourdomain.com.yourdomain.com. Saisissez seulement le label (mte1._domainkey, mte2._domainkey) lorsque le panneau ajoute le domaine à votre place.

Construisez votre enregistrement SPF

Mandrill (Mailchimp Transactional) est présélectionné ci-dessous. Ajoutez toutes les autres plateformes par lesquelles vous envoyez, puis publiez l'enregistrement fusionné unique.

SPF Mandrill (Mailchimp Transactional) — FAQ

Lectures complémentaires

Une fois publié, confirmez que tout se résout correctement avec la vérification de l'état du domaine, puis identifiez qui envoie en votre nom grâce à l'analyseur de rapports DMARC. Parcourez toutes les sources d'envoi dans le générateur. L'authentification ne représente toutefois que la moitié de la délivrabilité — une IP ou un domaine d'envoi inscrit sur une liste vous fait toujours atterrir dans les spams, quelle que soit la propreté de votre SPF ; il vaut donc la peine de surveiller les listes noires avec la surveillance des listes noires.