SPF, DKIM et DMARC pour SiteGround.
Contrairement à un simple bureau d'enregistrement, SiteGround tente de faire l'essentiel du travail à votre place : si votre domaine utilise les serveurs de noms de SiteGround et le service de messagerie de SiteGround, alors SPF, DKIM et DMARC sont tous créés automatiquement dès que le site web est provisionné. La tâche sur SiteGround consiste donc moins à « ajouter trois enregistrements de zéro » qu'à « savoir où SiteGround les a déjà placés, confirmer qu'ils sont actifs et y fusionner les autres services par lesquels vous envoyez du courrier. » Le hic, c'est que SiteGround répartit les commandes entre deux endroits et deux interfaces : SPF et DKIM se trouvent dans un outil dédié Email > Authentication à l'intérieur de Site Tools, tandis que DMARC n'est jamais qu'un enregistrement TXT brut que vous modifiez dans l'éditeur de zone DNS. Ce guide couvre les deux, avec les chemins de menu exacts, les formats d'enregistrement par défaut fournis par SiteGround et la seule condition — le fait que SiteGround gère réellement votre DNS — dont tout dépend.
Pourquoi authentifier SiteGround ?
L'authentification est désormais le ticket d'entrée vers la boîte de réception, et non plus un simple bonus. Selon les exigences des expéditeurs de Google et Yahoo, chaque expéditeur doit disposer au minimum d'un SPF ou d'un DKIM aligné sur le domaine From, et les expéditeurs en masse (plus de 5 000 messages par jour vers Gmail) doivent avoir SPF, DKIM et une politique DMARC. Comme SiteGround héberge un très grand nombre de sites WordPress, ses serveurs envoient beaucoup de courrier transactionnel — confirmations de commande, réinitialisations de mot de passe, réponses de formulaires de contact — au nom de votre domaine. Sans ces enregistrements, ce courrier est facile à usurper et atterrit rapidement dans les spams ; et une fois que votre domaine se forge une réputation de courrier non authentifié, cela pénalise tout ce que vous envoyez, y compris vos réponses humaines.
La réalité SPF pour SiteGround
SiteGround publie automatiquement un enregistrement SPF pour vous. Son format par défaut est `v=spf1 +a +mx include:_spf.mailspamprotection.com ~all`. Chaque élément compte : `include:_spf.mailspamprotection.com` autorise le relais de courrier sortant de SiteGround (mailspamprotection.com est la plateforme de filtrage de courrier de SiteGround, qui se résout en une poignée de plages ip4 sans aucun include imbriqué — une seule recherche DNS), tandis que `+a +mx` autorisent l'adresse IP et les enregistrements MX de votre propre compte d'hébergement, de sorte que le courrier généré par le serveur lui-même — notifications WordPress, PHP mail(), formulaires de contact — passe également. Surveillez le budget de recherches : cet enregistrement standard consomme déjà trois de vos dix recherches SPF (une pour `+a`, une pour `+mx` et une pour l'include) avant même que vous n'ajoutiez qui que ce soit. Si SiteGround envoie tout votre courrier, laissez cet enregistrement tel quel. Dès que vous ajoutez un autre expéditeur — Google Workspace, Microsoft 365, un ESP comme SendGrid ou Brevo, ou le propre produit Email Marketing de SiteGround — son `include:` doit être fusionné dans ce même enregistrement unique, et jamais publié comme un second enregistrement SPF TXT. Et si vous avez déplacé votre MX vers Google ou Microsoft et que vous n'envoyez plus du tout via SiteGround, le `+a +mx include:_spf.mailspamprotection.com` autorise peut-être des serveurs que vous n'utilisez pas — cela vaut la peine de l'élaguer. L'include lui-même est la méthode recommandée pour le courrier envoyé par SiteGround, alors conservez-le à moins que vous n'ayez réellement cessé d'envoyer via SiteGround.
Étape par étape
- 1
Confirmez que SiteGround gère réellement votre DNS
Chaque enregistrement créé automatiquement et chaque interrupteur de l'outil Authentication n'atteint votre DNS en production que si le domaine utilise les serveurs de noms de SiteGround ou le DNS géré par SiteGround. Si vos serveurs de noms pointent vers Cloudflare, votre bureau d'enregistrement ou un autre hébergeur, alors la zone faisant autorité s'y trouve et rien dans Site Tools ne prend effet — vous devriez alors recréer SPF, DKIM et DMARC dans l'éditeur de ce fournisseur. Vérifiez les serveurs de noms avant toute autre chose ; c'est la raison la plus courante pour laquelle les enregistrements SiteGround « ne fonctionnent pas ».
- 2
Ouvrez l'outil Email Authentication
Il s'agit du panneau spécialement conçu par SiteGround pour SPF et DKIM, présenté sous forme de deux onglets. Si votre domaine utilise le DNS de SiteGround et les boîtes de messagerie de SiteGround, les deux sont déjà activés par défaut ; cet outil sert donc surtout à vérifier le statut et à personnaliser. Notez ce qui ne s'y trouve PAS : DMARC. Il n'y a pas d'interrupteur DMARC dans l'outil Authentication — cet enregistrement se modifie séparément dans l'éditeur de zone DNS.
- 3
Examinez l'enregistrement SPF par défaut
SiteGround fournit `v=spf1 +a +mx include:_spf.mailspamprotection.com ~all`. L'onglet SPF vous permet d'ajouter des enregistrements A et des serveurs MX supplémentaires à autoriser, de bloquer des adresses IP spécifiques, de gérer la liste des include et d'ajuster le qualificateur « all » final. Laissez l'enregistrement tel quel si SiteGround envoie tout votre courrier. Le `~all` est un soft-fail (accepter mais signaler) — la valeur par défaut sûre jusqu'à ce que chaque expéditeur légitime soit répertorié.
- 4
Fusionnez tous les autres services d'envoi dans cet unique enregistrement SPF
Si vous envoyez aussi via Google Workspace (`include:_spf.google.com`), Microsoft 365, un ESP ou SiteGround Email Marketing, chacun a besoin que son include soit fusionné dans cet enregistrement unique — un domaine ne peut publier qu'un seul SPF TXT, et un second casse entièrement SPF. Ajoutez les include via la liste des include de l'outil Authentication, ou modifiez directement le SPF TXT dans l'éditeur de zone DNS. Laissez le générateur d'enregistrement SPF assembler une chaîne unique et valide afin que les include et le qualificateur soient correctement ordonnés, et gardez un œil sur la limite de dix recherches à mesure que vous ajoutez des expéditeurs.
- 5
Confirmez que DKIM est actif
SiteGround génère automatiquement une paire de clés DKIM et publie la clé publique au sélecteur `default` (hôte `default._domainkey`), avec une valeur de la forme `v=DKIM1; k=rsa; p=…`. L'onglet DKIM affiche ACTIVE ou INACTIVE. S'il est inactif, cliquez sur ACTIVATE et SiteGround écrit l'enregistrement dans la zone à votre place — vous ne générez ni ne collez jamais de clé. Pour effectuer une rotation de la clé, désactivez puis réactivez. N'oubliez pas que cette clé ne signe que le courrier envoyé par SiteGround lui-même.
- 6
Repérez et modifiez l'enregistrement DMARC créé automatiquement
Lors de la création du site web, SiteGround a ajouté un enregistrement DMARC de base sur `_dmarc` commençant par `v=DMARC1; p=none;`. Ouvrez l'éditeur de zone DNS, repérez l'enregistrement TXT dont la valeur commence par `v=DMARC1`, cliquez sur l'icône en forme de crayon et modifiez la valeur pour ajouter votre propre adresse de rapport — par exemple `v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com` — puis confirmez. Conservez la politique à `p=none` afin de collecter les rapports sans affecter la délivrabilité. Construisez la valeur avec le générateur d'enregistrement DMARC si vous souhaitez que les balises soient correctement formatées.
- 7
Ajoutez le DKIM des fournisseurs externes sous leurs propres sélecteurs
Le sélecteur `default` de SiteGround ne couvre que le courrier envoyé par SiteGround. Google Workspace, un ESP ou Email Marketing vous fournissent chacun un sélecteur différent — `google._domainkey`, `s1._domainkey`, ou une cible CNAME qu'ils hébergent. Publiez-les exactement tels qu'ils vous sont donnés, sous forme d'enregistrements supplémentaires dans l'éditeur de zone DNS. La coexistence de plusieurs sélecteurs DKIM est normale et correcte, car chacun se trouve à son propre hôte.
- 8
Vérifiez que tout se résout
Laissez au DNS de quelques minutes à quelques heures pour se propager, puis soumettez votre domaine — ainsi que le sélecteur DKIM `default` — à un vérificateur externe. Confirmez la présence d'exactement un enregistrement SPF, d'un DKIM trouvé à `default._domainkey` et d'un seul enregistrement `_dmarc`. Le tableau Manage DNS Records de l'éditeur de zone DNS fait foi quant à ce que SiteGround publie réellement.
Enregistrements à ajouter
SiteGround génère les valeurs exactes dans son assistant de configuration — celles-ci illustrent la forme de ce que vous ajouterez chez votre hébergeur DNS.
| Type | Hôte | Valeur |
|---|---|---|
| TXT | @ | v=spf1 +a +mx include:_spf.mailspamprotection.com ~allEnregistrement SPF par défaut créé automatiquement par SiteGround. Fusionnez l'include de tout autre expéditeur dans CET enregistrement unique — ne publiez jamais un second SPF TXT. La valeur est exacte pour le courrier envoyé par SiteGround ; +a, +mx et l'include coûtent chacun une recherche DNS (trois au total). |
| TXT | default._domainkey | v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC… (illustrative public key)Généré automatiquement par SiteGround au sélecteur « default ». Vous ne le collez jamais — il est créé lorsque DKIM est actif. La clé affichée est illustrative ; la vôtre sera différente. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comSiteGround crée automatiquement un enregistrement minimal p=none ; modifiez-le dans l'éditeur de zone DNS pour ajouter votre propre adresse de rapport rua. Valeur illustrative — conservez p=none jusqu'à ce que les rapports soient propres. |
Conservez exactement un seul enregistrement SPF (v=spf1) TXT sur votre domaine racine — fusionnez-y tous vos expéditeurs. Avoir deux enregistrements SPF constitue en soi une erreur.
Le budget de 10 requêtes DNS
SPF est plafonné à une limite stricte de 10 requêtes DNS — dépassez-la et il renvoie une permerror et cesse de valider partout. Voici ce que coûte la configuration de SiteGround sur ce budget.
SiteGround utilise 1 de vos 10 requêtes ; les mécanismes ip4: et ip6: sont gratuits.
DKIM
Sur SiteGround, DKIM est entièrement automatique et ne vous oblige pas à coller de clé. Lorsque votre domaine utilise les serveurs de noms et le service de messagerie de SiteGround, SiteGround génère une paire de clés RSA, conserve la clé privée sur ses serveurs de messagerie et publie la clé publique au sélecteur fixe `default` — de sorte que l'hôte de l'enregistrement est `default._domainkey` et que la valeur a la forme `v=DKIM1; k=rsa; p=<clé publique>`. Vous le gérez entièrement via Site Tools > Email > Authentication > DKIM, où le statut affiche ACTIVE ou INACTIVE ; cliquer sur ACTIVATE écrit l'enregistrement dans votre zone, et pour effectuer une rotation de la clé, vous désactivez puis réactivez. La limitation importante : cette clé ne signe que le courrier envoyé par SiteGround. Tout courrier que vous envoyez via Google Workspace, Microsoft 365 ou un ESP est signé avec le propre sélecteur de ce fournisseur et nécessite que l'enregistrement DKIM de ce fournisseur soit publié séparément — le sélecteur `default` de SiteGround ne le couvrira pas.
DMARC
DMARC est la couche de politique qui relie SPF et DKIM à l'adresse From visible et active les rapports. SiteGround crée pour vous un enregistrement DMARC de base sur `_dmarc` lors du provisionnement du site web, en commençant par `v=DMARC1; p=none;`. Contrairement à SPF et DKIM, il ne se trouve PAS dans l'outil Authentication — vous le modifiez sous forme d'enregistrement TXT brut dans l'éditeur de zone DNS (Site Tools > Domain > DNS Zone Editor, ou Client Area > Services > Domains > Settings). Repérez le TXT commençant par `v=DMARC1`, cliquez sur l'icône en forme de crayon et ajoutez votre propre adresse de rapport afin que les rapports agrégés parviennent à une boîte que vous consultez : `v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com`. Conservez `p=none` pendant votre surveillance — cela ne change rien à la délivrabilité, cela active simplement les rapports quotidiens. Ce n'est qu'après que les rapports auront confirmé que chaque flux légitime passe SPF ou DKIM en alignement que vous devriez passer à `p=quarantine`, puis à `p=reject`.
Vérifiez que tout fonctionne réellement
Attendez de quelques minutes à quelques heures pour la propagation, puis confirmez les trois depuis l'extérieur de SiteGround avec le vérificateur SPF, DKIM et DMARC — collez votre domaine et le sélecteur DKIM `default`. Vous devez vérifier la présence d'exactement un enregistrement SPF (et non deux), d'une clé DKIM trouvée à `default._domainkey` et d'un seul TXT `_dmarc`. Le propre éditeur de zone DNS de SiteGround (le tableau Manage DNS Records) fait foi quant à ce que la zone publie réellement, alors recoupez-y les informations si une vérification est en désaccord. Si un enregistrement est manquant, revérifiez dans cet ordre : que les serveurs de noms de SiteGround sont bien ceux qui servent effectivement le domaine, que vous avez modifié l'enregistrement DMARC dans l'éditeur de zone DNS plutôt que de le chercher dans l'outil Authentication, et que le DKIM de tout fournisseur externe a bien été publié sous son propre sélecteur.
Pièges courants
- Couverture
Tout le système dépend du fait que SiteGround gère votre DNS. Si vos serveurs de noms pointent vers Cloudflare, votre bureau d'enregistrement ou un autre hébergeur, les enregistrements créés automatiquement et chaque interrupteur de l'outil Authentication n'ont aucun effet — vous devez recréer SPF, DKIM et DMARC dans l'éditeur DNS de ce fournisseur. Confirmez les serveurs de noms avant de dépanner quoi que ce soit d'autre.
- Configuration DNS
SPF et DKIM se trouvent dans Site Tools > Email > Authentication, mais DMARC n'est que dans l'éditeur de zone DNS. Les gens cherchent un interrupteur DMARC dans l'outil Authentication, n'en trouvent pas et supposent que DMARC est absent — il est déjà là sous forme d'enregistrement TXT commençant par v=DMARC1.
- Couverture
Le DKIM par défaut de SiteGround (sélecteur « default ») ne signe que le courrier envoyé par SiteGround. Le courrier provenant de Google Workspace, Microsoft 365 ou d'un ESP n'est pas signé par SiteGround et nécessite le propre DKIM de ce fournisseur à son propre sélecteur, sinon il échouera au DKIM même si SiteGround affiche DKIM comme ACTIVE.
- Casse l'authentification
Ne publiez jamais un second enregistrement SPF. Lorsque vous ajoutez un autre service d'envoi, fusionnez son include dans l'enregistrement v=spf1 …mailspamprotection.com… existant via la liste des include de l'outil Authentication ou l'éditeur de zone DNS. Deux enregistrements SPF TXT font échouer SPF pour tout le domaine.
- Couverture
Si vous avez déplacé votre MX vers Google ou Microsoft et que vous n'envoyez plus via SiteGround, le +a +mx include:_spf.mailspamprotection.com par défaut autorise des serveurs que vous n'utilisez pas — vérifiez si l'include SiteGround a encore sa place avant de durcir la politique.
- Configuration DNS
Le SPF standard de SiteGround consomme déjà trois de vos dix recherches SPF avant même que vous n'ajoutiez quoi que ce soit — une pour +a, une pour +mx et une pour include:_spf.mailspamprotection.com. Fusionner Google Workspace (environ deux de plus) plus un ESP peut se rapprocher de la limite de dix recherches, alors gardez l'enregistrement léger et élaguez +a/+mx si le serveur SiteGround n'envoie plus votre courrier.
- Couverture
SiteGround Email Marketing est un produit distinct avec sa propre authentification de domaine (ses propres enregistrements, dont un include spf.dnssmarthost.net par compte) — ne confondez pas l'authentification de ce service avec le SPF/DKIM des boîtes de messagerie que gère l'outil Authentication.
- Couverture
Le soft-fail ~all est la valeur par défaut de SiteGround ; ne le passez pas à -all (hard-fail) tant que le vérificateur n'a pas confirmé que chaque expéditeur légitime figure dans l'enregistrement, sinon vous ferez rebondir votre propre courrier.
Construisez votre enregistrement SPF
SiteGround est présélectionné ci-dessous. Ajoutez toutes les autres plateformes par lesquelles vous envoyez, puis publiez l'enregistrement fusionné unique.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listSPF SiteGround — FAQ
Lectures complémentaires
Une fois publié, confirmez que tout se résout correctement avec la vérification de l'état du domaine, puis identifiez qui envoie en votre nom grâce à l'analyseur de rapports DMARC. Parcourez toutes les sources d'envoi dans le générateur. L'authentification ne représente toutefois que la moitié de la délivrabilité — une IP ou un domaine d'envoi inscrit sur une liste vous fait toujours atterrir dans les spams, quelle que soit la propreté de votre SPF ; il vaut donc la peine de surveiller les listes noires avec la surveillance des listes noires.
Authentifié — maintenant, gardez votre liste propre
Réussir SPF, DKIM et DMARC vous mène jusqu'à la boîte de réception ; une liste propre vous y maintient. Vérifiez la vôtre — commencez gratuitement avec 100 crédits, sans carte bancaire.