SPF, DKIM et DMARC pour Proton Mail.
Proton Mail authentifie un domaine personnalisé depuis la section Noms de domaine des paramètres de votre compte, qui vous guide à travers cinq onglets DNS dans l'ordre — Verify, MX, SPF, DKIM et DMARC — chacun doté d'un vérificateur en temps réel à coche verte qui surveille votre DNS. Contrairement à un ESP d'envoi en masse, Proton est l'hébergeur réel de votre boîte mail : « envoyer au nom de votre domaine » signifie donc ici votre courrier quotidien depuis vous@votredomaine.com. Le SPF est un véritable include partagé (include:_spf.protonmail.ch) que vous fusionnez dans l'unique enregistrement SPF de votre domaine racine ; le DKIM correspond à trois enregistrements CNAME qui permettent à Proton de publier et de faire tourner automatiquement des clés de 2048 bits signées comme votre propre domaine ; et le DMARC est un enregistrement de politique que Proton vous affiche mais n'écrit jamais dans votre DNS. Un prérequis que la plupart des guides passent sous silence : les domaines personnalisés nécessitent une offre Mail payante (Mail Plus, Proton Unlimited, Proton Family/Duo ou Proton for Business) — vous ne pouvez pas en ajouter un sur un compte gratuit.
Pourquoi authentifier Proton Mail ?
Authentifier votre domaine Proton détermine si votre courrier atteindra la boîte de réception ou non — la confidentialité est l'argument de vente de Proton, mais la confidentialité n'est pas l'authentification, et les serveurs de réception vous notent sur vos enregistrements, pas sur vos intentions. Depuis février 2024, Gmail et Yahoo exigent que tout expéditeur en masse (environ 5 000 messages ou plus par jour) passe SPF, DKIM et DMARC avec alignement, et Microsoft a commencé en 2025 à appliquer les mêmes règles au courrier à fort volume vers Outlook.com/Hotmail. Même pour une boîte personnelle ou de petite entreprise à faible volume, un domaine personnalisé Proton non authentifié affiche une mention « via », échoue au DMARC et dérive vers le spam — et pire, il laisse votre domaine exposé à l'usurpation, car vous n'avez rien publié qui indique au monde quels serveurs peuvent envoyer en votre nom. Il y a une raison propre à Proton qui rend cela encore plus important ici : Proton possède et gère le return-path SMTP de votre courrier sortant et ne vous laisse pas le personnaliser, si bien qu'on ne peut pas compter sur le SPF pour s'aligner sur votre domaine. C'est ce qui fait du DKIM — que Proton signe comme d=votredomaine.com — le mécanisme qui porte réellement votre validation DMARC. Configurez les trois et votre courrier vous appartient cryptographiquement, la mention « via » disparaît, le DMARC passe grâce au DKIM aligné, et la réputation que vous bâtissez profite à votre propre domaine.
La réalité SPF pour Proton Mail
Proton Mail est un véritable fournisseur « include » : vous ajoutez un seul mécanisme partagé, include:_spf.protonmail.ch, à l'unique enregistrement SPF TXT de votre domaine racine — l'enregistrement complet est v=spf1 include:_spf.protonmail.ch ~all. Il s'agit d'un véritable include partagé (tous les clients de domaine personnalisé Proton utilisent le même), contrairement aux ESP en délégation CNAME. Il ne coûte qu'une seule requête DNS sur la limite de 10 imposée par le RFC 7208, et Proton recommande explicitement de terminer par ~all (softfail) plutôt que par -all, afin que le courrier provenant d'un serveur que vous auriez oublié de lister soit marqué comme suspect plutôt que rejeté sèchement. Il y a toutefois une réserve importante propre à Proton : parce que Proton contrôle l'expéditeur d'enveloppe / Return-Path de votre courrier sortant et ne vous donne aucun moyen de le pointer vers votre propre domaine (pas de sous-domaine d'envoi de type em comme SendGrid, pas de Return-Path personnalisé), vous NE devez PAS compter sur l'alignement du SPF avec votre domaine pour le DMARC. Considérez include:_spf.protonmail.ch comme remplissant deux tâches utiles — autoriser les IP sortantes de Proton et satisfaire la vérification SPF brute — et appuyez-vous sur le DKIM comme mécanisme aligné, puisque Proton signe chaque message avec d=votredomaine.com. Conservez exactement un enregistrement SPF TXT sur le domaine : si vous envoyez aussi via Google Workspace, Microsoft 365 ou un outil de newsletter, fusionnez chaque mécanisme dans cette unique ligne v=spf1 plutôt que de publier un second enregistrement SPF (deux enregistrements SPF constituent en soi un PermError). Et chaque sous-domaine d'envoi a besoin de son propre SPF — l'enregistrement sur votredomaine.com ne couvre pas mail.votredomaine.com.
Étape par étape
- 1
Confirmez une offre payante et ajoutez le domaine
Les domaines personnalisés nécessitent une offre Mail payante — Mail Plus, Proton Unlimited, Proton Family/Duo ou une offre Proton for Business ; les comptes gratuits ne peuvent pas en ajouter. Connectez-vous et allez dans Paramètres → Tous les paramètres → Noms de domaine (sur les offres Business, cela se trouve sous Organisation → Noms de domaine). Cliquez sur Ajouter un domaine, saisissez votredomaine.com, et Proton ouvre l'assistant de configuration avec ses onglets Verify / MX / SPF / DKIM / DMARC.
- 2
Ajoutez l'enregistrement TXT de vérification de propriété
Sur l'onglet Verify, Proton affiche un enregistrement TXT dont la valeur est protonmail-verification=<un code unique à votre domaine>. Ajoutez-le chez votre hébergeur DNS comme enregistrement TXT sur la racine (hôte @ ou vide), puis revenez et laissez Proton revérifier — l'onglet passe à une coche verte dès qu'il détecte l'enregistrement. Laissez cet enregistrement en place ; le supprimer plus tard peut dévérifier le domaine.
- 3
Pointez le MX vers Proton
Sur l'onglet MX, ajoutez deux enregistrements MX sur la racine (@) : mail.protonmail.ch avec la priorité 10 et mailsec.protonmail.ch avec la priorité 20. Supprimez tout enregistrement MX résiduel d'un fournisseur précédent, ou assurez-vous que ceux de Proton ont les numéros de priorité les plus bas, afin que le courrier entrant soit acheminé vers Proton. Le MX concerne la réception, pas l'authentification, mais l'assistant de Proton l'attend et cela fait partie d'une configuration propre.
- 4
Ajoutez ou fusionnez l'enregistrement SPF
Sur l'onglet SPF, Proton affiche v=spf1 include:_spf.protonmail.ch ~all. Ajoutez-le comme enregistrement TXT sur la racine (@). Si un enregistrement v=spf1 existe déjà pour un autre expéditeur, n'en créez pas un second — fusionnez include:_spf.protonmail.ch dans cette unique ligne existante, en gardant un seul ~all à la fin.
- 5
Révélez les trois valeurs CNAME DKIM
Ouvrez l'onglet DKIM (sur les offres Business : Noms de domaine → votre domaine → Vérifier → DKIM). Proton affiche trois paires hôte/valeur sur les sélecteurs protonmail, protonmail2 et protonmail3. Copiez les trois exactement — les valeurs cibles contiennent un identifiant unique à votre domaine.
- 6
Publiez les trois CNAME DKIM
Créez trois enregistrements CNAME : hôte protonmail._domainkey → protonmail.domainkey.<hash>.domains.proton.ch, protonmail2._domainkey → protonmail2.domainkey.<hash>.domains.proton.ch, et protonmail3._domainkey → protonmail3.domainkey.<hash>.domains.proton.ch, en utilisant les cibles exactes que Proton a affichées. Conservez le type CNAME (et non TXT), et si votre registrar ajoute un point final ou insère automatiquement le nom de votre domaine dans la valeur, retirez-le pour que la cible corresponde exactement.
- 7
Publiez l'enregistrement DMARC
Sur l'onglet DMARC, ajoutez un enregistrement TXT sur l'hôte _dmarc avec v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.com. Commencez à p=none (surveillance seule) pour que rien ne change dans la distribution pendant que vous confirmez l'alignement du DKIM ; la propre recommandation de Proton pour la plupart des domaines est de passer ensuite à p=quarantine. Conservez un seul enregistrement _dmarc pour l'ensemble du domaine.
- 8
Activez votre adresse et définissez-la par défaut
Une fois les onglets vérifiés, assurez-vous d'avoir effectivement une adresse sur le domaine : Paramètres → Identité et adresses → Adresses. Créez ou activez vous@votredomaine.com et définissez-la par défaut afin que le courrier sortant soit envoyé — et signé par DKIM — au nom de votre domaine personnalisé plutôt que de votre adresse d'origine proton.me / pm.me.
- 9
Surveillez les coches vertes, puis testez un vrai message
Chaque onglet passe à une coche verte dès que Proton détecte l'enregistrement correspondant (généralement en quelques minutes, jusqu'à 48 heures). Ne vous arrêtez pas là : envoyez un message à un compte Gmail, ouvrez-le, et utilisez ⋮ → Afficher l'original pour confirmer DKIM: PASS avec d=votredomaine.com et DMARC: PASS. Faites ensuite passer le domaine par un {healthCheck} pour confirmer que chaque enregistrement se résout.
Enregistrements à ajouter
Proton Mail génère les valeurs exactes dans son assistant de configuration — celles-ci illustrent la forme de ce que vous ajouterez chez votre hébergeur DNS.
| Type | Hôte | Valeur |
|---|---|---|
| TXT | @ | protonmail-verification=abcdef1234567890abcdef1234567890Vérification de propriété depuis l'onglet Verify — à titre indicatif ; votre code est unique. Gardez-le publié. |
| MX | @ | mail.protonmail.chServeur de messagerie entrant principal, priorité 10. Réception, pas authentification. |
| MX | @ | mailsec.protonmail.chServeur de messagerie entrant de secours, priorité 20. Supprimez les anciens enregistrements MX ou gardez ceux de Proton au plus bas. |
| TXT | @ | v=spf1 include:_spf.protonmail.ch ~allSPF racine — conservez exactement un enregistrement SPF ; fusionnez cet include si vous avez déjà une ligne v=spf1. Coûte 1 requête DNS. Proton recommande ~all. |
| CNAME | protonmail._domainkey | protonmail.domainkey.d3nc4x7wj5x2z.domains.proton.chSélecteur DKIM 1 (rotation automatique). À titre indicatif — copiez la cible exacte depuis l'onglet DKIM de Proton ; le hash d… est unique à votre domaine. |
| CNAME | protonmail2._domainkey | protonmail2.domainkey.d3nc4x7wj5x2z.domains.proton.chSélecteur DKIM 2. Les trois sont requis pour la rotation automatique des clés de Proton. |
| CNAME | protonmail3._domainkey | protonmail3.domainkey.d3nc4x7wj5x2z.domains.proton.chSélecteur DKIM 3. À titre indicatif — utilisez la valeur exacte affichée par l'onglet DKIM. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comC'est vous qui l'ajoutez vous-même — un par domaine. Commencez à p=none ; Proton recommande de monter à p=quarantine. |
Conservez exactement un seul enregistrement SPF (v=spf1) TXT sur votre domaine racine — fusionnez-y tous vos expéditeurs. Avoir deux enregistrements SPF constitue en soi une erreur.
Le budget de 10 requêtes DNS
SPF est plafonné à une limite stricte de 10 requêtes DNS — dépassez-la et il renvoie une permerror et cesse de valider partout. Voici ce que coûte la configuration de Proton Mail sur ce budget.
Proton Mail utilise 1 de vos 10 requêtes ; les mécanismes ip4: et ip6: sont gratuits.
DKIM
Le DKIM est l'endroit où Proton fait quelque chose de véritablement différent de la plupart des hébergeurs de boîtes mail, et c'est la partie qui compte le plus pour votre délivrabilité. Au lieu d'une seule clé TXT statique à coller, Proton vous fait publier trois enregistrements CNAME sur les sélecteurs protonmail._domainkey, protonmail2._domainkey et protonmail3._domainkey, chacun pointant vers protonmail{,2,3}.domainkey.<hash>.domains.proton.ch (le <hash> est un identifiant unique à votre domaine). Comme il s'agit de CNAME délégués à Proton — et non de clés que vous détenez — Proton conserve les clés privées et utilise les trois sélecteurs pour faire tourner automatiquement des clés de 2048 bits fraîches (environ tous les six mois) sans que vous ayez jamais à modifier le DNS à nouveau : il y a toujours une clé active qui signe le courrier tandis que les autres sont retirées et régénérées en arrière-plan. C'est pourquoi les trois sont obligatoires — n'en publiez qu'une seule et la rotation finit par laisser votre courrier signé par une clé que votre DNS n'annonce pas, et le DKIM commence silencieusement à échouer. Révélez les trois valeurs sur l'onglet DKIM (Noms de domaine → votre domaine → Vérifier → DKIM), publiez-les exactement telles qu'affichées, et attendez la coche verte de l'onglet ; une fois que Proton les détecte, il commence à signer chaque message sortant avec d=votredomaine.com. Cette signature s'aligne sur votre domaine organisationnel, ce qui porte votre validation DMARC — particulièrement important pour Proton, où l'on ne peut pas se fier à l'alignement SPF. Deux remarques opérationnelles : si vous aviez auparavant configuré le DKIM à l'ancienne avec un enregistrement TXT manuel protonmail._domainkey, supprimez ce TXT avant d'ajouter les CNAME pour qu'ils n'entrent pas en conflit ; et sur Cloudflare, réglez chaque CNAME sur « DNS only » (nuage gris) sinon il ne se résoudra pas vers l'hôte Proton.
DMARC
Le DMARC est un enregistrement de politique distinct que vous publiez vous-même — Proton l'affiche sur l'onglet DMARC mais ne l'écrit jamais dans votre DNS. Ajoutez un enregistrement TXT sur _dmarc.votredomaine.com commençant par v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.com. p=none est en mode surveillance seule : il ne change rien à la distribution mais demande aux serveurs de réception de vous envoyer par e-mail des rapports agrégés (rua) afin de confirmer que votre courrier Proton passe le DKIM aligné sur votre domaine. Une fois que vous avez observé les rapports pendant une semaine ou deux et que chaque source légitime s'authentifie, durcissez la politique — les propres recommandations de Proton sont de passer à p=quarantine comme réglage conseillé pour la plupart des domaines, et à p=reject pour les domaines à forte valeur nécessitant la protection anti-usurpation la plus stricte (le niveau qu'utilisent Yahoo, PayPal et eBay). Montez en puissance de manière réfléchie toutefois : Proton avertit explicitement que quarantine/reject peut casser le transfert d'e-mails et les listes de diffusion, puisqu'un message transféré perd le SPF et repose entièrement sur la survie intacte du DKIM. Conservez exactement un enregistrement _dmarc pour l'ensemble du domaine organisationnel, quel que soit le nombre d'expéditeurs que vous utilisez ; les sous-domaines héritent de la politique parente (remplacez-en un en particulier avec son propre enregistrement _dmarc ou la balise sp=). Comme Proton signe le DKIM aligné en d=votredomaine.com, un domaine Proton correctement configuré passe le DMARC grâce au DKIM même lorsque le SPF ne s'aligne pas — ce qui explique précisément pourquoi vous ne devez pas sauter les CNAME DKIM.
Vérifiez que tout fonctionne réellement
Ne vous fiez pas aux seules coches vertes des onglets — elles confirment uniquement que les enregistrements se résolvent, pas que votre courrier s'authentifie de bout en bout. Envoyez un véritable test depuis votre adresse de domaine personnalisé vers un compte Gmail, ouvrez-le, et choisissez ⋮ → Afficher l'original. Vous voulez DKIM: PASS avec signed-by / d=votredomaine.com (le sélecteur actif sera l'un de protonmail, protonmail2 ou protonmail3, selon où la rotation se situe actuellement) et DMARC: PASS. Le SPF affichera généralement un pass lui aussi, mais notez s'il est aligné sur votre domaine ou sur le return-path de Proton — si seul le DKIM s'aligne, c'est le comportement attendu sur Proton et le DMARC passe quand même grâce au DKIM. Un deuxième avis rapide : envoyez un message à une adresse Mail-Tester, qui devrait obtenir un score de 10/10 avec SPF et DKIM tous deux au vert. Vous pouvez vérifier ponctuellement les enregistrements bruts avec dig CNAME protonmail._domainkey.votredomaine.com, dig TXT votredomaine.com et dig TXT _dmarc.votredomaine.com. Enfin, faites passer le domaine par le {healthCheck} de Qualisend pour confirmer que l'include SPF, les trois CNAME DKIM et l'enregistrement DMARC se résolvent proprement et que votre SPF reste sous la limite de 10 requêtes — et une fois que les rapports agrégés commencent à arriver, déposez-en un dans le {dmarcAnalyzer} pour confirmer que Proton apparaît comme une source alignée et validée.
Pièges courants
- Couverture
Les domaines personnalisés nécessitent une offre Proton Mail payante (Mail Plus, Proton Unlimited, Proton Family/Duo ou Proton for Business). Vous ne pouvez ni ajouter ni authentifier un domaine sur un compte gratuit — c'est la première chose à vérifier si la section Noms de domaine ne vous laisse pas avancer.
- Configuration DNS
Ne comptez pas sur le SPF pour le DMARC sur Proton. Proton contrôle le return-path sortant et ne vous donne aucun moyen de le personnaliser, si bien que le SPF peut ne pas s'aligner sur votre domaine. Le DKIM — signé comme d=votredomaine.com via les trois CNAME — est le mécanisme qui porte votre validation DMARC. Ne sautez jamais le DKIM.
- Configuration DNS
Les trois CNAME DKIM sont requis. Proton fait tourner des clés de 2048 bits entre les sélecteurs protonmail, protonmail2 et protonmail3 ; n'en publiez qu'un seul et la rotation finit par laisser le courrier sortant signé par une clé que votre DNS n'annonce pas, si bien que le DKIM commence silencieusement à échouer des semaines plus tard.
- Configuration DNS
La valeur du CNAME DKIM doit correspondre exactement. De nombreux registrars ajoutent un point final ou insèrent automatiquement votre domaine, transformant la cible en quelque chose que le vérificateur de Proton rejette — retirez-le pour qu'elle corresponde exactement à l'assistant, sinon la coche verte n'apparaît jamais.
- Configuration DNS
Vous migrez depuis l'ancien DKIM basé sur TXT ? Supprimez l'ancien enregistrement TXT protonmail._domainkey avant d'ajouter les CNAME. Un TXT obsolète et le nouveau CNAME sur le même hôte entrent en conflit et le DKIM ne se validera pas.
- Configuration DNS
Sur Cloudflare, réglez chaque CNAME DKIM sur DNS only (nuage gris). Un CNAME proxifié en nuage orange ne se résoudra pas vers *.domains.proton.ch et la vérification échoue — un piège très courant de Proton sur Cloudflare.
- Casse l'authentification
Conservez exactement un enregistrement SPF TXT. Si vous envoyez aussi via Google Workspace, Microsoft 365 ou un outil de newsletter, fusionnez include:_spf.protonmail.ch dans l'unique ligne v=spf1 — deux enregistrements SPF constituent un PermError. Et chaque sous-domaine d'envoi a besoin de son propre SPF, DKIM et DMARC.
Construisez votre enregistrement SPF
Proton Mail est présélectionné ci-dessous. Ajoutez toutes les autres plateformes par lesquelles vous envoyez, puis publiez l'enregistrement fusionné unique.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listSPF Proton Mail — FAQ
Lectures complémentaires
Une fois publié, confirmez que tout se résout correctement avec la vérification de l'état du domaine, puis identifiez qui envoie en votre nom grâce à l'analyseur de rapports DMARC. Parcourez toutes les sources d'envoi dans le générateur. L'authentification ne représente toutefois que la moitié de la délivrabilité — une IP ou un domaine d'envoi inscrit sur une liste vous fait toujours atterrir dans les spams, quelle que soit la propreté de votre SPF ; il vaut donc la peine de surveiller les listes noires avec la surveillance des listes noires.
Authentifié — maintenant, gardez votre liste propre
Réussir SPF, DKIM et DMARC vous mène jusqu'à la boîte de réception ; une liste propre vous y maintient. Vérifiez la vôtre — commencez gratuitement avec 100 crédits, sans carte bancaire.