« Utiliser votre domaine pour vos e-mails » est l'opération qui transforme yourcompany.com, simple adresse de site web, en destination de messagerie fonctionnelle. Le parcours complet couvre les enregistrements DNS, la création des boîtes, l'authentification et la vérification. Le travail se divise en cinq étapes concrètes qu'un administrateur peut achever en un après-midi, sans gérer de serveur : il suffit d'utiliser des tableaux de bord et de copier-coller des enregistrements DNS.
La plupart des guides de configuration portent sur le tableau de bord d'un fournisseur précis. Les cinq étapes ci-dessous sont indépendantes du fournisseur et s'appliquent à TrekMail, Workspace, Zoho ou tout autre hébergeur de boîtes fiable. Les présenter séparément permet de bien comprendre leurs dépendances.
Ce guide parcourt toute la configuration avec des contrôles concrets à chaque étape. Pour une présentation plus générale, consultez comment créer une adresse e-mail avec un domaine.
Ce que signifie réellement « utiliser votre domaine pour vos e-mails »
Utiliser votre domaine pour vos e-mails consiste à configurer des enregistrements DNS qui acheminent le courrier entrant vers un hébergeur de boîtes et authentifient le courrier sortant afin que les destinataires puissent lui faire confiance. La configuration comprend cinq enregistrements DNS (MX, SPF, DKIM et DMARC, plus un TXT de vérification du domaine). Chacun a un rôle et un format différents.
L'hébergeur fournit les valeurs; vous les publiez auprès de votre fournisseur DNS. Toute la configuration est indépendante du fournisseur : les mêmes cinq enregistrements fonctionnent que le courrier arrive chez TrekMail, Workspace ou tout autre hébergeur fiable. Si vous changez d'hébergeur plus tard, vous devrez mettre à jour ces cinq mêmes enregistrements pour les faire pointer vers le nouveau service.
Les cinq étapes de configuration
Cinq étapes couvrent tout ce qui est nécessaire pour utiliser votre domaine pour vos e-mails. L'ordre est important : MX avant l'authentification, l'authentification avant les tests et les tests avant le renforcement de DMARC. Le résultat de chaque étape alimente la suivante; en omettre une crée des défaillances ultérieures dont le diagnostic prend plus de temps que l'étape elle-même.
- Faites pointer les enregistrements MX vers l'hébergeur. Deux ou trois enregistrements MX dotés de valeurs de priorité.
- Publiez l'enregistrement SPF. Un enregistrement TXT répertoriant les expéditeurs autorisés.
- Publiez DKIM pour chaque expéditeur. Un enregistrement TXT par service de signature des e-mails.
- Publiez DMARC avec p=none. Un enregistrement TXT contenant une adresse de rapport.
- Testez l'aller-retour et renforcez DMARC. Vérifiez la mention PASS chez trois destinataires, puis passez DMARC à p=quarantine après deux semaines.
La séquence en cinq étapes reste la même, que vous utilisiez votre domaine pour vos e-mails avec 1 boîte ou 1,000. Les enregistrements évoluent avec le nombre d'expéditeurs, pas avec celui des boîtes. Ajouter des boîtes ne nécessite aucun nouvel enregistrement DNS; ajouter des expéditeurs externes (plateforme marketing, service transactionnel ou CRM), oui : chaque nouvel expéditeur a besoin de son propre sélecteur DKIM.
Étape 1 : faire pointer les enregistrements MX vers l'hébergeur
La première étape consiste à publier des enregistrements MX qui pointent vers les serveurs de messagerie de l'hébergeur. Celui-ci fournit deux ou trois valeurs MX accompagnées de numéros de priorité (10, 20, 30) qui indiquent l'ordre de basculement. Les destinataires essaient d'abord la valeur au numéro de priorité le plus bas, puis les numéros supérieurs si elle est indisponible.
Publiez toutes les valeurs MX fournies par l'hébergeur, pas seulement celle dont le numéro de priorité est le plus bas. Cette redondance compte lors des rares incidents où le serveur de messagerie principal devient indisponible. Sans les enregistrements MX de secours, le courrier entrant rebondit pendant les interruptions au lieu d'être mis en file d'attente pour une nouvelle tentative.
Étape 2 : publier l'enregistrement SPF
La deuxième étape est l'enregistrement SPF. SPF déclare quels serveurs peuvent envoyer des messages en se présentant comme votre domaine. Il s'agit d'une seule entrée TXT à la racine du domaine, avec une syntaxe telle que v=spf1 include:_spf.trekmail.net ~all pour une configuration hébergée chez TrekMail qui utilise uniquement TrekMail pour l'envoi.
Si vous avez d'autres expéditeurs (plateforme marketing ou service transactionnel), incluez également leurs enregistrements SPF. Chaque directive include: compte comme une requête DNS et le total sur l'ensemble de l'arbre de résolution doit rester inférieur à 10 requêtes. Auditez l'enregistrement SPF tous les trimestres afin de détecter l'augmentation du nombre de requêtes avant qu'elle fasse rebondir des messages légitimes.
Étape 3 : publier DKIM pour chaque expéditeur
La troisième étape est DKIM, qui signe cryptographiquement les e-mails sortants afin que les destinataires puissent les vérifier. Chaque service qui envoie des messages « depuis » votre domaine a besoin de son propre enregistrement DKIM sous un sélecteur unique. L'hébergeur génère son enregistrement DKIM; les plateformes marketing et les expéditeurs transactionnels fournissent le leur.
Les enregistrements sont publiés sous forme d'entrées TXT dans des sous-domaines propres aux sélecteurs : trekmail._domainkey.yourcompany.com pour le sélecteur de TrekMail, mailgun._domainkey.yourcompany.com pour celui de Mailgun, et ainsi de suite. Chacun est une longue chaîne base64 qui doit être collée comme une seule valeur TXT continue, sans saut de ligne. Consultez l'authentification des e-mails avec SPF, DKIM et DMARC pour une présentation plus approfondie.
Étape 4 : publier DMARC avec p=none
La quatrième étape est DMARC, qui indique aux destinataires la conduite à tenir en cas d'échec de SPF ou DKIM. Commencez avec p=none pendant deux semaines. Les rapports révèlent chaque IP qui prétend représenter votre domaine, le résultat SPF/DKIM et le maintien ou non de l'alignement. Cet audit repère les expéditeurs légitimes oubliés à la deuxième étape.
Le format de l'enregistrement DMARC est v=DMARC1; p=none; rua=mailto:dmarc-reports@yourcompany.com. Remplacez l'adresse rua par une boîte dont vous lirez réellement les rapports. Après deux semaines sans incident avec p=none, passez à p=quarantine. Après un mois supplémentaire de rapports sans problème, passez à p=reject. Cette politique progressive aide à empêcher les messages légitimes de rebondir pendant la phase d'audit.
Étape 5 : tester l'aller-retour et renforcer DMARC
La cinquième étape est le test d'aller-retour. Envoyez un message depuis la nouvelle boîte vers une adresse Gmail, Outlook.com et Yahoo. Ouvrez chaque message reçu et consultez ses en-têtes. Tous trois devraient afficher SPF=PASS, DKIM=PASS et DMARC=PASS. Toute mention FAIL indique qu'un enregistrement doit être corrigé avant la mise en service avec un trafic réel.
Après deux semaines de rapports DMARC sans incident avec p=none et tous les contrôles réussis, passez à p=quarantine. Après un mois de rapports sans problème en quarantaine, passez à p=reject. Pour une configuration mature, la politique DMARC stable est p=reject, avec une vérification mensuelle des rapports. Consultez configurer la messagerie sur mon domaine pour une présentation sous un autre angle.
Cette progression est nécessaire, car utiliser p=reject dès la première semaine ferait rebondir les messages légitimes provenant d'expéditeurs que vous n'avez pas encore authentifiés. L'audit de deux semaines avec p=none révèle tous les expéditeurs légitimes dans les rapports. Le mois avec p=quarantine confirme que la correction tient. Ce n'est qu'ensuite que p=reject peut être appliqué sans risque excessif. Sauter cette progression perturbe le courrier légitime et suscite des plaintes de clients qui vous visent, plutôt que l'expéditeur mal configuré.
De nombreux administrateurs qui utilisent leur domaine pour leurs e-mails et sautent cette progression en subissent les conséquences en quelques jours. La file des rapports DMARC se remplit de messages mis en quarantaine. Les réponses entrantes cessent d'arriver. La solution consiste à revenir à p=none et à recommencer la période d'audit, perdant ainsi le temps que cette omission était censée économiser, voire davantage.
Configuration avec plusieurs expéditeurs
Avec plusieurs expéditeurs, la difficulté tient au fait que chaque service externe qui signe des messages avec votre domaine a besoin de son propre sélecteur DKIM chez votre fournisseur DNS. Plateformes marketing, services transactionnels, outils CRM et systèmes de gestion des tickets d'assistance ont chacun besoin de leur sélecteur pour s'aligner sur votre domaine.
Voici un scénario courant : une petite entreprise qui a commencé avec un seul hébergeur de boîtes ajoute une plateforme marketing six mois plus tard, puis un expéditeur transactionnel et enfin un CRM doté de fonctions de messagerie intégrées. Chaque ajout nécessite la configuration de son propre sélecteur DKIM. Les administrateurs qui l'ignorent peuvent voir leur taux de placement en boîte de réception se dégrader lentement à mesure que de nouveaux services s'ajoutent sans authentification adéquate.
Sans DKIM propre à chaque expéditeur, les messages de ces services échouent à l'alignement même lorsque DKIM réussit techniquement, car ils sont signés avec le domaine du service au lieu du vôtre. Les rapports agrégés DMARC font généralement apparaître ce défaut d'alignement quelques jours après l'activation; il faut alors configurer le sélecteur de chaque service afin qu'il signe en tant que votre domaine. Ce travail est fastidieux, mais ne doit être effectué qu'une fois par expéditeur.
Étapes suivantes
La configuration complète pour utiliser votre domaine pour vos e-mails demande environ deux heures au total et produit un système conçu pour une distribution fiable en boîte de réception. Cinq enregistrements DNS : MX, SPF, DKIM, DMARC, avec un test d'aller-retour. La séquence s'applique aussi bien à une installation de 1 boîte qu'à une installation de 1,000.
Essayez gratuitement TrekMail Nano sur trekmail.net/pricing, sans carte bancaire. L'offre Nano couvre 10 domaines × 10 boîtes; Starter étend cette capacité à 50 × 100 lorsque le volume d'envoi augmente. Pour le cadre conceptuel, consultez la messagerie sur domaine personnalisé.
Après les cinq premières étapes, l'entretien nécessaire pour conserver une configuration fonctionnelle reste léger. Lisez les rapports DMARC mensuels afin de vérifier qu'aucun expéditeur non autorisé ne prétend représenter votre domaine. Auditez SPF tous les trimestres pour détecter l'augmentation des requêtes avant qu'elle fasse rebondir des messages légitimes. Vérifiez la rotation DKIM chaque année; TrekMail la gère automatiquement pour toutes les offres, mais assurez-vous qu'elle s'est bien déroulée. Le temps d'entretien annuel total peut rester inférieur à 30 minutes, ce qui permet d'utiliser son domaine pour les e-mails de plusieurs marques sans personnel dédié à l'infrastructure.
Pour les administrateurs de plusieurs domaines, les cinq étapes se répètent pour chaque domaine sans état partagé. Chaque domaine dispose de ses propres enregistrements MX, SPF, DKIM et DMARC. Le point de terminaison de traitement groupé des domaines de TrekMail prend en charge jusqu'à 500 domaines à la fois, ce qui peut ramener de plusieurs jours à quelques heures le travail de création par domaine pour les agences.
