Configurer SPF, DKIM et DMARC sur Google Workspace

Si votre entreprise utilise Google Workspace (Gmail professionnel), voici comment activer les trois protections contre l'usurpation de courriels.

1. SPF — autoriser les serveurs de Google

Ajoutez un enregistrement TXT sur votre domaine :

v=spf1 include:_spf.google.com ~all

Pour une protection plus stricte, passez à -all une fois que tous vos services d'envoi sont listés.

2. DKIM — signer vos courriels

Dans la Console d'administration Google (admin.google.com) → Apps → Google Workspace → Gmail → Authentifier le courrier. Cliquez « Générer un nouvel enregistrement », ajoutez le TXT fourni sur google._domainkey dans votre DNS, puis cliquez « Démarrer l'authentification ».

3. DMARC — bloquer les usurpateurs

Ajoutez un TXT sur _dmarc.votredomaine.com, en commençant doucement :

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.com

Surveillez, puis montez à p=quarantine et enfin p=reject.

Les pièges propres à Google Workspace

1. Le sélecteur DKIM par défaut est faible. Google propose encore une clé de 1024 bits dans certains comptes : choisissez 2048 bits au moment de générer la clé. C'est le même effort, et c'est ce qu'attendent les vérificateurs modernes.
2. « Commencer l'authentification » oublié. Publier l'enregistrement TXT ne suffit pas : tant que vous n'avez pas cliqué sur Commencer l'authentification dans la console, Gmail n'appose aucune signature.
3. Le sélecteur n'est pas toujours google. Vous pouvez le personnaliser, et beaucoup d'outils de test ne cherchent que les noms courants — d'où des « DKIM non détecté » qui ne veulent rien dire. Notre bilan accepte un sélecteur saisi à la main pour lever le doute.
4. Les alias d'envoi (« envoyer en tant que »). Si vos employés envoient depuis Gmail avec une adresse d'un autre domaine, ce domaine-là doit avoir ses propres SPF, DKIM et DMARC — sinon ces courriels échouent l'authentification chez le destinataire.
5. Le ~all laissé en place. Google recommande de débuter en souple ; une fois vos services d'envoi listés, passez à -all. Un SPF permissif affaiblit tout le reste.

Vérifier que c'est bien actif

Comptez de quelques minutes à quelques heures pour la propagation DNS, puis lancez notre bilan gratuit : il lit vos enregistrements publics et vous dit quel sélecteur DKIM est réellement publié. Pour la preuve côté destinataire, envoyez-vous un courriel et collez son en-tête dans notre analyseur d'en-tête. Enfin, la surveillance gratuite vous prévient si l'un de ces enregistrements disparaît un jour — c'est le genre de régression que personne ne remarque avant de perdre des courriels.