SPF, DKIM, DMARC chez OVH : configuration pas à pas (2026)

Votre domaine est chez OVH et votre zone DNS se gère dans le Manager OVH. Si vous n’avez jamais configuré SPF, DKIM ou DMARC, n’importe qui peut aujourd’hui envoyer un email qui semble venir de @votredomaine.fr.

L’attaquant n’a besoin ni de votre boîte mail ni de votre mot de passe. Le protocole SMTP, conçu en 1982, n’authentifie pas l’expéditeur. Un attaquant peut mettre votre adresse dans le champ « De : » aussi facilement qu’on écrit une fausse adresse sur une enveloppe postale. C’est ce qu’on appelle le spoofing.

OVH configure par défaut les enregistrements MX pour que vos emails arrivent. Les enregistrements qui protègent l’expéditeur (SPF, DKIM, DMARC) ne sont en revanche pas toujours activés, notamment si vous utilisez un service email tiers ou si votre compte date de quelques années.

Ce guide détaille la configuration de ces trois protocoles, avec les chemins exacts dans le Manager OVH.

Avant de commencer, vous pouvez tester gratuitement la configuration email de votre domaine : l’outil vérifie vos enregistrements SPF, DKIM et DMARC et indique ce qui manque.

Pourquoi configurer SPF, DKIM et DMARC chez OVH

OVH gère les domaines d’un grand nombre d’entreprises françaises. Un attaquant qui usurpe un domaine en @entreprise.fr profite de la confiance que ses destinataires français accordent à un nom qu’ils connaissent.

La configuration email par défaut chez OVH varie selon l’ancienneté du compte et l’offre souscrite. Les comptes récents avec MX Plan nouvelle génération ont souvent SPF pré-configuré. Les comptes plus anciens, les configurations avec Microsoft 365 ou Google Workspace comme service email, et les domaines avec hébergement mutualisé sans email actif : dans ces cas, la configuration est fréquemment incomplète.

Sans SPF, DKIM et DMARC, deux problèmes apparaissent.

Le premier touche la délivrabilité. Depuis février 2024, Gmail exige SPF ou DKIM de tout expéditeur, et SPF, DKIM et DMARC au-delà de 5 000 emails par jour ; Yahoo applique des règles proches. Sans ces protocoles, vos emails finissent bien plus souvent en spam, quel que soit votre volume.

Le second est l’usurpation d’identité. Sans politique DMARC active, votre domaine peut être utilisé pour envoyer des emails de phishing à vos clients, partenaires ou employés. Ces emails auront l’air de venir de vous, et vous n’en saurez rien.

Le rôle de chaque protocole :

SPF (Sender Policy Framework) : liste dans votre DNS les serveurs autorisés à envoyer des emails pour votre domaine. Un serveur non listé est signalé comme non autorisé.
DKIM (DomainKeys Identified Mail) : ajoute une signature cryptographique à chaque email sortant. Le serveur destinataire vérifie que le message n’a pas été altéré en transit.
DMARC (Domain-based Message Authentication, Reporting & Conformance) : s’appuie sur SPF et DKIM pour décider du sort des emails qui échouent aux vérifications, et vous envoie des rapports.

Pour une explication détaillée du fonctionnement technique de chaque protocole, consultez le guide complet SPF, DKIM et DMARC.

Tester votre configuration actuelle

Avant de modifier quoi que ce soit, vérifiez l’état de votre configuration. Vous éviterez ainsi d’écraser un enregistrement déjà correct.

Via notre outil gratuit : rendez-vous sur /outils/test-securite-email, entrez votre nom de domaine, et obtenez en quelques secondes le statut de vos enregistrements SPF, DKIM et DMARC avec des recommandations concrètes.

Via la ligne de commande : si vous préférez vérifier directement depuis votre terminal :

# Vérifier SPF
dig TXT votredomaine.fr | grep spf

# Vérifier DMARC
dig TXT _dmarc.votredomaine.fr

# Vérifier DKIM (remplacez "ovh" par le sélecteur de votre service email)
dig TXT ovh._domainkey.votredomaine.fr

Interpréter les résultats :

Ce que vous voyez	Ce que ça signifie
Aucun résultat pour SPF	Pas d’enregistrement SPF : à créer
`v=spf1 include:mx.ovh.com` sans `~all` ni `-all`	SPF incomplet : à corriger
Deux lignes commençant par `v=spf1`	Double enregistrement SPF : à fusionner
Aucun résultat pour DMARC	Pas de politique DMARC : votre domaine peut être usurpé
`p=none` dans DMARC	Surveillance uniquement, pas de protection active

Configurer SPF chez OVH

Accéder à la zone DNS

Connectez-vous à votre espace client OVH (manager.ovh.com)
Dans le menu de gauche, cliquez sur Noms de domaine
Sélectionnez le domaine à configurer
Cliquez sur l’onglet Zone DNS

Vous voyez la liste de tous vos enregistrements DNS. Cherchez si un enregistrement TXT à la racine (colonne « Sous-domaine » vide ou avec @) commence par v=spf1. Si c’est le cas, modifiez-le plutôt que d’en créer un nouveau.

Ajouter ou modifier l’enregistrement SPF

Si vous n’avez pas encore de SPF :

Cliquez sur Ajouter une entrée
Sélectionnez TXT
Sous-domaine : laissez vide (ou entrez @ selon l’interface ; les deux désignent la racine du domaine)
TTL : laissez la valeur par défaut (3600)
Valeur : entrez votre record SPF (voir les valeurs ci-dessous)
Cliquez sur Suivant puis Valider

Si vous avez déjà un SPF :

Cliquez sur le crayon (modifier) à côté de l’enregistrement TXT existant
Modifiez la valeur en ajoutant les mécanismes manquants
Validez

Quelle valeur SPF utiliser ?

Vous utilisez uniquement les emails OVH (MX Plan, Email Pro, Exchange OVH) :

v=spf1 include:mx.ovh.com ~all

Vous utilisez OVH + Microsoft 365 :

v=spf1 include:mx.ovh.com include:spf.protection.outlook.com ~all

Vous utilisez OVH + Google Workspace :

v=spf1 include:mx.ovh.com include:_spf.google.com ~all

Vous utilisez uniquement Microsoft 365 (domaine OVH, emails Microsoft) :

v=spf1 include:spf.protection.outlook.com ~all

Vous utilisez uniquement Google Workspace (domaine OVH, emails Google) :

v=spf1 include:_spf.google.com ~all

Sur le ~all vs -all : le softfail ~all indique que les serveurs non listés sont probablement frauduleux. Le hardfail -all demande explicitement leur rejet. Commencez par ~all le temps de valider que tous vos services d’envoi sont bien listés. Une fois que vos rapports DMARC confirment qu’aucun service légitime n’est manquant, passez à -all.

Erreurs fréquentes à éviter

Deux records SPF. C’est l’erreur la plus courante. Si vous ajoutez un second enregistrement TXT commençant par v=spf1, vous aurez deux records SPF en conflit. Le résultat est PermError : SPF est ignoré, comme si vous n’en aviez pas. Un seul record SPF par domaine, avec tous vos services dans ce record.

Trop de lookups DNS. SPF est limité à 10 résolutions DNS récursives. Chaque include: en consomme au moins une, et certains includes contiennent eux-mêmes d’autres includes. Si vous avez beaucoup de services d’envoi, vérifiez le nombre de lookups avec un outil comme MXToolbox SPF Record Checker. Au-delà de 10, le contrôle SPF renvoie PermError.

Oublier un service d’envoi. Chaque service qui envoie des emails depuis votre domaine doit figurer dans le SPF : votre messagerie principale, mais aussi votre CRM, votre outil marketing (Brevo, Mailchimp), vos emails transactionnels (Stripe, Pennylane), votre outil de support (Zendesk). Un service oublié verra ses emails échouer à SPF une fois que DMARC sera en politique stricte.

Configurer DKIM chez OVH

La procédure DKIM dépend de votre offre email chez OVH. Il existe trois cas principaux.

Cas 1 : MX Plan nouvelle génération ou Email Pro OVH

Depuis 2023, OVH permet d’activer DKIM directement depuis l’espace client pour ses offres MX Plan nouvelle génération et Email Pro.

Dans l’espace client OVH, allez dans Emails → sélectionnez votre service email
Cliquez sur l’onglet Informations générales puis Sécurité
Dans la section DKIM, cliquez sur Configurer
OVH génère une paire de clés et publie automatiquement l’enregistrement DKIM dans votre zone DNS

Vérifiez que l’enregistrement a bien été créé dans Noms de domaine → Zone DNS. Vous devez voir un enregistrement TXT dont le nom ressemble à ovh._domainkey.votredomaine.fr.

Vous avez l’ancienne formule MX Plan ? Elle ne supporte pas DKIM. OVH propose la migration gratuite vers la nouvelle formule MX Plan. Allez dans Emails → votre service MX Plan → Général et cherchez le bouton de migration. Cette migration ne cause pas d’interruption de service.

Cas 2 : Exchange OVH (Hosted Exchange ou Private Exchange)

Dans l’espace client OVH, allez dans Microsoft → Exchange → votre service
Allez dans l’onglet Domaines associés
Cliquez sur le domaine à configurer → Configurer le DKIM
OVH vous fournit deux enregistrements CNAME à ajouter dans votre zone DNS :
- selector1._domainkey.votredomaine.fr → pointe vers un enregistrement géré par OVH
- selector2._domainkey.votredomaine.fr → second sélecteur pour la rotation de clés
Ajoutez ces deux enregistrements CNAME dans Noms de domaine → Zone DNS
Revenez dans la configuration Exchange et activez la signature DKIM

Cas 3 : Domaine OVH avec Microsoft 365 ou Google Workspace

Si votre domaine est géré chez OVH mais que vos emails partent de Microsoft 365 ou Google Workspace, c’est ces services qui génèrent les clés DKIM. La zone DNS OVH sert juste à publier les enregistrements qu’ils vous donnent.

Microsoft 365 :

Dans le portail Microsoft Defender (security.microsoft.com) : Stratégies & règles → Stratégies de menace → Email authentication settings → DKIM
Sélectionnez votre domaine et cliquez sur Créer des clés DKIM
Microsoft vous donne deux enregistrements CNAME
Ajoutez-les dans la zone DNS OVH (type CNAME)
Revenez dans Defender et cliquez Activer

Google Workspace :

Dans la console Admin Google (admin.google.com) : Applications → Google Workspace → Gmail → Authentifier les emails
Sélectionnez votre domaine, cliquez sur Générer un nouvel enregistrement
Choisissez une longueur de clé de 2048 bits
Google vous donne un enregistrement TXT (nom : google._domainkey)
Ajoutez cet enregistrement TXT dans la zone DNS OVH
Attendez 15 à 60 minutes, puis revenez dans la console Admin et cliquez Démarrer l’authentification

Vérifier que DKIM est actif

Envoyez un email depuis votre domaine vers une adresse Gmail personnelle. Ouvrez l’email reçu → menu ⋮ (les trois points) → Afficher l’original. Dans les résultats d’authentification en haut, vous devez voir dkim=pass. Si vous voyez dkim=none ou dkim=fail, la signature n’est pas encore active ou la clé n’a pas propagé.

Configurer DMARC chez OVH

DMARC se configure comme un simple enregistrement TXT dans votre zone DNS OVH. La subtilité : il faut démarrer avec une politique non bloquante, analyser les rapports, puis monter progressivement vers une politique stricte.

Ajouter l’enregistrement DMARC

Dans l’espace client OVH : Noms de domaine → votredomaine.fr → Zone DNS
Cliquez sur Ajouter une entrée → TXT
Sous-domaine : entrez _dmarc
TTL : 3600
Valeur : entrez votre record DMARC (voir ci-dessous)
Validez

Progresser par étapes

Étape 1, surveillance (à déployer tout de suite) :

v=DMARC1; p=none; rua=mailto:dmarc-reports@votredomaine.fr; fo=1

p=none : pas de blocage, observation uniquement
rua= : adresse qui recevra les rapports quotidiens (utilisez une adresse que vous consultez)
fo=1 : générer des rapports pour chaque email en échec (utile pour le diagnostic)

Gardez cette configuration 2 à 4 semaines. Pendant cette période, analysez les rapports reçus pour identifier toutes vos sources d’envoi légitimes et vous assurer qu’elles passent SPF ou DKIM.

Étape 2, mise en quarantaine progressive :

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@votredomaine.fr; fo=1

pct=25 signifie que seulement 25 % des emails en échec seront mis en spam. Montez progressivement : 25 % → 50 % → 75 % → 100 %. Vérifiez après chaque palier qu’aucun email légitime n’est touché.

Étape 3, rejet (objectif final) :

v=DMARC1; p=reject; rua=mailto:dmarc-reports@votredomaine.fr; fo=1

À ce stade, tout email prétendant venir de votre domaine mais échouant aux vérifications SPF et DKIM sera rejeté par les serveurs destinataires. C’est la protection maximale.

Pour le plan détaillé, avec les contrôles à faire à chaque palier et la marche arrière en cas de blocage, consultez notre section passer DMARC en reject.

Que font les rapports DMARC ?

Chaque jour, les grands fournisseurs de messagerie (Gmail, Microsoft, Yahoo, OVH, etc.) vous envoient un fichier XML récapitulant tous les emails qui ont prétendu venir de votre domaine. Ces rapports contiennent l’IP du serveur expéditeur, le résultat SPF, le résultat DKIM, et l’alignement.

Les fichiers XML bruts sont difficiles à lire. Des outils gratuits comme Postmark DMARC ou dmarcian les transforment en tableaux de bord lisibles. En phase initiale, ce suivi est nécessaire pour détecter les services d’envoi légitimes qui échouent avant de passer en politique bloquante.

Vérifier votre configuration

Une fois vos enregistrements publiés, vérifiez qu’ils sont correctement interprétés.

Avec notre outil : /outils/test-securite-email vérifie SPF, DKIM et DMARC et vous donne un score. C’est le moyen le plus rapide.

Avec dig en ligne de commande :

# Vérifier SPF : doit retourner votre enregistrement v=spf1
dig TXT votredomaine.fr

# Vérifier DMARC : doit retourner votre enregistrement v=DMARC1
dig TXT _dmarc.votredomaine.fr

# Vérifier DKIM pour OVH Mail (sélecteur "ovh")
dig TXT ovh._domainkey.votredomaine.fr

# Vérifier DKIM pour Google Workspace (sélecteur "google")
dig TXT google._domainkey.votredomaine.fr

# Vérifier DKIM pour Microsoft 365 (sélecteur "selector1")
dig TXT selector1._domainkey.votredomaine.fr

Avec nslookup (Windows) :

nslookup -type=TXT _dmarc.votredomaine.fr
nslookup -type=TXT votredomaine.fr

Délai de propagation : OVH utilise un TTL de 3 600 secondes par défaut. Attendez au moins 1 heure après chaque modification avant de tester. Si les anciens enregistrements persistent, attendez jusqu’à 48 heures (rare, mais possible si un résolveur a mis en cache une valeur avec un TTL élevé).

Test d’envoi : envoyez un email depuis votre domaine vers une adresse Gmail. Ouvrez l’email → menu ⋮ → Afficher l’original. Cherchez la section Authentication-Results. Vous devez voir :

spf=pass
dkim=pass
dmarc=pass

Si l’un des trois affiche fail ou none, revenez à la section correspondante de ce guide.

Cas particuliers OVH

Plusieurs domaines chez OVH

Si vous gérez plusieurs domaines dans le même compte OVH, la configuration SPF, DKIM et DMARC doit être répétée pour chaque domaine. Il n’existe pas de configuration globale. Pensez aussi aux sous-domaines utilisés pour l’envoi (ex: newsletter.votredomaine.fr) : ils ont besoin de leurs propres enregistrements SPF et DKIM, ou doivent être couverts par la politique DMARC du domaine parent via le paramètre sp=.

Domaines redirigés ou parqués

Si vous avez des domaines qui ne servent qu’à rediriger vers un autre domaine (domaines défensifs, variantes orthographiques), ces domaines peuvent aussi être usurpés pour du phishing. La configuration recommandée pour un domaine qui n’envoie jamais d’email :

# SPF : aucun serveur autorisé
v=spf1 -all

# DMARC : rejet immédiat
v=DMARC1; p=reject

DKIM est inutile pour un domaine qui n’envoie rien. SPF -all et DMARC p=reject suffisent à bloquer toute usurpation.

Votre domaine est chez un autre hébergeur ?

Les mêmes procédures existent avec les chemins d’interface propres à chaque prestataire : pour Infomaniak, voyez la section Infomaniak de notre guide SPF, DKIM et DMARC ; chez Gandi ou Ionos, le guide dédié Gandi / Ionos.

OVH + outil de marketing email (Mailchimp, Brevo, Sendinblue)

Si vous utilisez un outil de marketing email en plus de votre messagerie OVH, vous avez deux options pour DKIM :

Première option, la délégation de domaine. Certains outils (Brevo, Mailjet, Mailchimp) permettent d’authentifier votre domaine via des enregistrements CNAME. L’outil génère et gère les clés DKIM, vous publiez les CNAME dans la zone DNS OVH. C’est la méthode recommandée, car l’alignement DMARC est alors correct.

Seconde option, un sous-domaine dédié. Pour les newsletters, vous pouvez utiliser un sous-domaine comme news.votredomaine.fr. Configurez SPF et DKIM spécifiquement pour ce sous-domaine. Cela évite que des problèmes de configuration sur l’outil marketing n’affectent la délivrabilité des emails de votre domaine principal.

Pour chacun de ces outils, ajoutez le mécanisme include: correspondant dans votre SPF :

Service	Mécanisme SPF à ajouter
Brevo / Sendinblue	`include:spf.brevo.com`
Mailchimp	`include:servers.mcsv.net`
Mailjet	`include:spf.mailjet.com`
HubSpot	`include:hubspotemail.net`
Klaviyo	`include:klaviyomail.com`

Hébergement mutualisé OVH et emails PHP

Si votre site web envoie des emails depuis un script PHP (formulaire de contact, emails de confirmation de commande) sur un hébergement mutualisé OVH, ces emails utilisent le serveur de messagerie OVH interne. Ils ne seront pas signés DKIM sauf si vous configurez explicitement un relais SMTP.

Pour ces emails transactionnels, la pratique recommandée est d’utiliser un service d’envoi externe via SMTP (Brevo, Mailjet, Postmark, SendGrid). Ces services signent les emails en DKIM avec votre domaine et offrent un suivi de délivrabilité. La plupart proposent des formules gratuites jusqu’à quelques centaines d’emails par jour, suffisantes pour un site PME.

Questions fréquentes

Quelle est la différence entre MX Plan, Email Pro et Exchange chez OVH pour DKIM ?

La procédure d’activation diffère selon l’offre. Avec l’ancienne formule MX Plan, DKIM n’est pas disponible : il faut migrer vers la nouvelle formule MX Plan ou vers Email Pro. Avec la nouvelle formule MX Plan et Email Pro, DKIM s’active directement dans l’espace client OVH via l’onglet DKIM de votre domaine. Avec Exchange OVH, la configuration passe par le panneau Exchange et nécessite également la publication d’enregistrements CNAME dans la zone DNS.

Puis-je avoir plusieurs enregistrements SPF chez OVH ?

Non. Un domaine ne peut avoir qu’un seul enregistrement SPF (un seul enregistrement TXT commençant par v=spf1). Si vous devez autoriser plusieurs services d’envoi, vous devez tous les inclure dans un seul record en enchaînant les mécanismes include:. L’espace client OVH vous avertit si vous tentez d’ajouter un second record SPF en conflit.

Combien de temps prend la propagation DNS chez OVH ?

OVH applique généralement un TTL de 3 600 secondes (1 heure) par défaut sur les enregistrements TXT. La plupart des serveurs DNS verront vos modifications en moins d’une heure. Dans certains cas, la propagation complète peut prendre jusqu’à 24 à 48 heures si des serveurs tiers ont mis en cache l’ancien enregistrement avec un TTL élevé.

DKIM fonctionne-t-il sur l’hébergement mutualisé OVH ?

Sur l’hébergement web mutualisé OVH (perso, pro, performance), si vous utilisez l’adresse email fournie avec l’hébergement via MX Plan nouvelle génération, DKIM est disponible dans l’espace client. En revanche, si vous envoyez des emails depuis un script PHP sur votre serveur mutualisé (via la fonction mail()), ces emails n’auront pas de signature DKIM. Pour les emails transactionnels depuis votre application, utilisez un relais SMTP externe (Brevo, Mailjet) qui signe les emails en DKIM.

Comment surveiller les rapports DMARC reçus chez OVH ?

Les rapports DMARC sont des fichiers XML envoyés par les grands fournisseurs (Gmail, Microsoft, Yahoo) à l’adresse rua= que vous avez renseignée. Vous les recevrez dans votre boîte mail OVH. Étant donné que ces fichiers XML compressés sont difficiles à lire bruts, des outils gratuits comme Postmark DMARC ou dmarcian facilitent la lecture. Pour un usage avancé, des plateformes comme Valimail ou EasyDMARC centralisent et analysent les rapports automatiquement.

Que faire si j’utilise OVH pour le domaine mais un autre service pour les emails (Microsoft 365, Google Workspace) ?

C’est le cas le plus fréquent. Votre domaine est géré chez OVH (zone DNS), mais vos emails partent depuis Microsoft 365 ou Google Workspace. La configuration SPF, DKIM et DMARC se fait dans la zone DNS OVH, mais les valeurs à renseigner (notamment pour DKIM) sont générées par Microsoft 365 ou Google Workspace. Le guide détaille cette configuration section par section.

OVH propose-t-il un outil de configuration SPF/DKIM/DMARC automatique ?

OVH propose un assistant de configuration email dans l’espace client qui peut générer automatiquement les enregistrements SPF et DKIM pour ses propres offres email (MX Plan nouvelle génération, Email Pro, Exchange OVH). Cet assistant ne couvre pas les configurations mixtes (OVH + Microsoft 365, OVH + Google Workspace). Pour ces cas, vous devrez ajouter les enregistrements manuellement dans la zone DNS.

SPF, DKIM et DMARC bloquent l’usurpation exacte de votre domaine. Le phishing ne se résume pas à cette seule technique. Les domaines sosies (votre-entreprise.fr, votreentreprise-info.com), les comptes légitimes compromis, les services cloud détournés (Google Forms, SharePoint) : autant d’approches que la configuration DNS ne peut pas contrer.

C’est pourquoi la protection technique et la formation des équipes sont complémentaires. Un salarié qui sait reconnaître un email de phishing, même quand il semble parfaitement légitime, arrête les attaques que les filtres laissent passer.

Vous voulez mesurer la vigilance de vos équipes sur une messagerie OVH ? Sur Email Pro et Hosted Exchange mutualisé, il n’existe pas de liste blanche côté serveur pour les emails de test. Notre guide simulation de phishing sans liste blanche sur OVH explique comment procéder quand même, avec un domaine d’envoi authentifié. Pour le fonctionnement général, voyez notre page simulation de phishing.