SPF, DKIM et DMARC sur cPanel : se conformer à Gmail, Yahoo et Outlook en 2026

Depuis que Gmail, Yahoo et Microsoft appliquent strictement leurs règles d'authentification, un domaine mal configuré ne voit plus seulement ses messages arriver en spam : ils peuvent être refusés purement et simplement. Bonne nouvelle, cPanel regroupe désormais SPF, DKIM et DMARC sur une seule page. Ce guide vous accompagne de l'état des lieux jusqu'à une politique DMARC en p=reject, rapports à l'appui.

Ce que Gmail, Yahoo et Microsoft exigent en 2026

Les trois grandes messageries distinguent les règles valables pour tous les expéditeurs et celles réservées aux gros volumes. Voici la synthèse, établie à partir de leurs documentations officielles en vigueur en octobre 2026.

Exigence	Gmail	Yahoo	Outlook.com / Hotmail
Tous les expéditeurs	SPF ou DKIM, DNS direct et inverse (PTR) valides, TLS, taux de spam < 0,3 %	SPF ou DKIM, DNS direct et inverse valides, taux de spam < 0,3 %	Bonnes pratiques recommandées
Seuil « gros volume »	Environ 5 000 messages par jour vers des comptes Gmail	Pas de chiffre publié (« volume significatif »)	5 000 messages ou plus vers les services grand public de Microsoft
Gros volume : authentification	SPF et DKIM, DMARC au minimum `p=none`, alignement du domaine From	SPF et DKIM, DMARC au minimum `p=none`, alignement relâché accepté	SPF et DKIM valides, DMARC publié et validé
Désinscription	En un clic (en-têtes List-Unsubscribe) + lien visible	En un clic, traitée sous 2 jours	Recommandée
Sanction	Rejets temporaires ou définitifs, ou classement en spam	Filtrage ou rejet	Rejet avec l'erreur `550 5.7.515`

Google précise dans sa FAQ qu'à partir de novembre 2025, Gmail a renforcé l'application de ces règles : les messages non conformes subissent désormais des rejets temporaires et permanents. Retenez aussi que Gmail recommande une clé DKIM d'au moins 1024 bits, idéalement 2048 bits, et un taux de spam idéalement inférieur à 0,1 %.

Pourquoi un petit site est aussi concerné

Vous n'envoyez pas 5 000 messages par jour ? Les règles « tous expéditeurs » s'appliquent quand même, et un domaine sans DMARC est une cible facile pour l'usurpation : n'importe qui peut envoyer un faux e-mail en votre nom. Les formulaires de contact WordPress, les confirmations de commande PrestaShop et les newsletters passent par les mêmes filtres que vos e-mails personnels. Configurer les trois enregistrements prend moins d'une heure et vous protège durablement.

SPF, DKIM et DMARC : le rôle de chacun

SPF liste les serveurs autorisés à envoyer pour votre domaine. Il est vérifié sur l'adresse d'enveloppe (Return-Path), pas sur l'adresse affichée.
DKIM ajoute une signature cryptographique à chaque message. Le destinataire la vérifie grâce à la clé publique publiée dans votre DNS.
DMARC relie les deux à l'adresse visible (le domaine du champ From). Un message passe DMARC si SPF ou DKIM réussit et si le domaine vérifié correspond au domaine affiché : c'est l'alignement. DMARC indique aussi quoi faire en cas d'échec et où envoyer les rapports.

Le point qui piège le plus souvent : un SPF valide ne suffit pas si le Return-Path appartient à un autre domaine, par exemple celui d'un service d'envoi de newsletters. Sans DKIM signé avec votre domaine, DMARC échoue.

Étape 1 : faire l'état des lieux dans cPanel

Connectez-vous à cPanel et ouvrez la section E-mail, puis Email Deliverability (Délivrabilité des e-mails).
Le tableau liste vos domaines avec une colonne d'état de délivrabilité. Un domaine en anomalie signale un problème sur DKIM, SPF, DMARC ou le DNS inverse.
Cliquez sur Manage (Gérer) pour voir le détail : chaque enregistrement y est comparé à l'enregistrement suggéré par cPanel.

Le bouton Repair (Réparer) corrige automatiquement les enregistrements invalides après validation de votre part. Il n'est disponible que si le serveur gère la zone DNS du domaine. Si vos serveurs de noms sont ailleurs (chez votre registraire ou un service CDN), copiez les enregistrements suggérés et ajoutez-les chez ce fournisseur.

La section DMARC de cette page est présente dans les versions récentes de cPanel (version 130 et suivantes). Sur une version plus ancienne, ajoutez l'enregistrement DMARC à la main dans l'Éditeur de zone.

Étape 2 : configurer SPF

Dans la section SPF de la page Manage, cPanel propose un enregistrement adapté à votre serveur. Pour un domaine qui n'envoie que depuis votre hébergement, il ressemble à ceci :

votredomaine.fr.  14400  IN  TXT  "v=spf1 +a +mx +ip4:203.0.113.10 ~all"

Si vous utilisez aussi un service externe (outil de newsletter, messagerie collaborative), utilisez Customize pour ajouter son include fourni par ce service, puis Install a Customized SPF Record :

votredomaine.fr.  14400  IN  TXT  "v=spf1 +a +mx +ip4:203.0.113.10 include:_spf.service-exemple.com ~all"

Trois règles à respecter :

Un seul enregistrement SPF par domaine. Deux enregistrements v=spf1 rendent SPF invalide.
Dix consultations DNS maximum. Chaque include, a ou mx en consomme ; au-delà, SPF renvoie une erreur.
~all ou -all ? cPanel propose ~all (échec léger) par défaut. Une fois DMARC en place, c'est DMARC qui décide du sort des messages : ~all reste un choix prudent tant que vous n'êtes pas certain d'avoir listé toutes vos sources.

Étape 3 : activer et publier DKIM

Dans la section DKIM, cliquez sur Generate Local DKIM Key si aucune clé n'existe. cPanel signe alors les messages sortants de votre hébergement avec le sélecteur default. L'enregistrement public prend cette forme :

default._domainkey.votredomaine.fr.  14400  IN  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...IDAQAB"

Si votre DNS est géré ailleurs, utilisez Copy et collez la valeur chez votre fournisseur DNS (le format « Split » découpe une clé longue en plusieurs chaînes si votre interface l'exige). Ne publiez jamais la clé privée : cPanel permet de l'afficher, mais elle doit rester sur le serveur.

Chaque service externe qui envoie en votre nom doit lui aussi signer avec votre domaine, via son propre sélecteur (par exemple s1._domainkey). Plusieurs sélecteurs DKIM cohabitent sans problème, contrairement à SPF.

Étape 4 : publier DMARC en mode observation

Avant toute chose, créez dans cPanel une adresse e-mail réservée à la réception des rapports, par exemple [email protected] : vous en recevrez plusieurs par jour. Ensuite, dans la section DMARC, installez l'enregistrement suggéré ou adaptez-le dans l'Éditeur de zone :

_dmarc.votredomaine.fr.  14400  IN  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r"

p=none : aucune action sur les messages en échec, vous observez seulement.
rua : l'adresse qui reçoit les rapports agrégés quotidiens.
adkim=r et aspf=r : alignement relâché, qui accepte les sous-domaines (un Return-Path en bounce.votredomaine.fr reste aligné).

cPanel rappelle que DMARC n'est pleinement actif que si SPF et DKIM sont déjà valides : terminez les étapes 2 et 3 avant celle-ci.

Étape 5 : lire les rapports DMARC

Les rapports agrégés arrivent en pièce jointe compressée (.zip ou .gz) contenant un fichier XML. Chaque messagerie (Google, Yahoo, Microsoft…) envoie le sien, en général une fois par jour. Voici l'extrait qui compte :

<record>
  <row>
    <source_ip>198.51.100.25</source_ip>
    <count>137</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>fail</dkim>
      <spf>pass</spf>
    </policy_evaluated>
  </row>
  <identifiers>
    <header_from>votredomaine.fr</header_from>
  </identifiers>
</record>

Lisez-le ainsi : 137 messages affichant votre domaine sont partis de l'adresse IP 198.51.100.25. SPF est aligné, DKIM ne l'est pas, DMARC passe donc grâce à SPF. Pour chaque IP source, posez-vous trois questions :

Est-ce que je reconnais cette source ? Votre serveur cPanel, votre outil de newsletter, votre logiciel de facturation… Si oui, c'est un envoi légitime à corriger.
Si légitime, qu'est-ce qui échoue ? DKIM absent : activez la signature avec votre domaine chez ce service. SPF non aligné : ajoutez son include ou configurez un Return-Path sur votre domaine.
Si inconnue, est-ce de l'usurpation ? Des volumes depuis des IP inconnues, en échec sur SPF et DKIM, sont exactement ce que p=reject bloquera.

Lire du XML à la main devient vite fastidieux : de nombreux analyseurs de rapports DMARC, gratuits ou payants, transforment ces fichiers en tableaux par source. L'essentiel est de les consulter chaque semaine pendant la montée en charge.

Étape 6 : passer de p=none à p=reject sans casse

Durcir la politique trop tôt fait disparaître vos propres e-mails légitimes. Avancez par paliers :

Palier	Enregistrement	Durée conseillée	Condition pour passer au suivant
1. Observation	`p=none`	2 à 4 semaines	Toutes vos sources légitimes identifiées et alignées
2. Quarantaine	`p=quarantine`	2 à 4 semaines	Aucune plainte de message légitime en spam, rapports stables
3. Rejet	`p=reject`	Permanent	Surveillance mensuelle des rapports

; Palier 2
_dmarc.votredomaine.fr.  14400  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:[email protected]; adkim=r; aspf=r"

; Palier 3
_dmarc.votredomaine.fr.  14400  IN  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]; adkim=r; aspf=r"

Le paramètre sp=reject applique la même règle aux sous-domaines, que les usurpateurs exploitent volontiers quand ils sont laissés sans protection. Ancienne astuce de montée progressive, le paramètre pct ne figure plus dans la nouvelle version du standard DMARC (RFC 9989, publiée en 2026) : préférez des paliers complets et des durées d'observation suffisantes.

Vérifier avec un vrai message

Envoyez un e-mail depuis votre boîte cPanel vers une adresse Gmail, ouvrez-le puis choisissez Afficher l'original. Gmail affiche SPF, DKIM et DMARC avec la mention PASS ou FAIL. Dans les en-têtes complets, cherchez la ligne Authentication-Results :

Authentication-Results: mx.google.com;
  dkim=pass [email protected] header.s=default;
  spf=pass smtp.mailfrom=votredomaine.fr;
  dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=votredomaine.fr

Faites le même test depuis votre site : formulaire de contact, réinitialisation de mot de passe, commande de test. Les e-mails envoyés par PHP sans authentification partent parfois avec une adresse d'enveloppe liée au compte d'hébergement plutôt qu'à votre domaine. Configurez votre CMS pour envoyer en SMTP authentifié avec une vraie adresse de votre domaine : SPF et DKIM seront alors alignés.

Les erreurs de rejet les plus courantes

5.7.26 chez Gmail : le message n'est pas authentifié (ni SPF ni DKIM valides et alignés). Reprenez l'état des lieux de l'étape 1.
550 5.7.515 chez Microsoft : le domaine d'envoi n'atteint pas le niveau d'authentification requis pour les gros volumes. SPF et DKIM doivent tous deux réussir, et DMARC être publié et validé.
Échec DMARC alors que SPF passe : le Return-Path appartient au domaine d'un prestataire. Activez DKIM avec votre domaine chez ce prestataire.
DKIM en échec après une migration : la clé a été régénérée sur le nouveau serveur mais l'ancienne valeur est toujours publiée dans le DNS externe.
PTR manquant ou incohérent : la section Reverse DNS de la page Manage l'indique. Cet enregistrement dépend du propriétaire de l'adresse IP, donc de votre hébergeur.

FAQ

DMARC en p=none suffit-il pour Gmail et Outlook ?

Oui, au sens strict : Gmail, Yahoo et Microsoft acceptent p=none comme minimum. Mais cette politique ne protège pas votre domaine contre l'usurpation. Visez p=reject une fois vos envois légitimes alignés.

Combien de temps faut-il pour que les changements soient pris en compte ?

La page Délivrabilité des e-mails revérifie les enregistrements en quelques minutes après une réparation. Côté destinataires, comptez le temps d'expiration du TTL de vos enregistrements DNS, généralement quelques heures.

Que faire si le bouton Repair n'apparaît pas ?

Votre zone DNS n'est pas gérée par le serveur cPanel. Copiez les enregistrements suggérés et ajoutez-les chez le fournisseur qui gère vos serveurs de noms.

Faut-il un enregistrement DMARC pour chaque sous-domaine ?

Non. L'enregistrement du domaine principal s'applique aux sous-domaines, et le paramètre sp permet de leur donner une politique propre.

Les rapports DMARC contiennent-ils le contenu de mes e-mails ?

Non. Les rapports agrégés (rua) ne contiennent que des statistiques : adresses IP, volumes et résultats SPF, DKIM et DMARC.