Enregistrement DMARC GoDaddy : pas à pas

Où ajouter l'enregistrement DMARC d'un domaine GoDaddy ?

L'enregistrement DMARC s'ajoute là où le DNS de votre domaine est réellement hébergé, ce qui n'est pas toujours là où vous avez acheté le domaine. Si le domaine utilise les serveurs de noms de GoDaddy, vous ajoutez l'enregistrement sur la page DNS de GoDaddy. Si les serveurs de noms pointent ailleurs, par exemple vers Cloudflare ou votre hébergeur web, la page DNS de GoDaddy n'a aucun effet et l'enregistrement doit être créé chez ce fournisseur. Les paramètres du domaine dans GoDaddy indiquent quels serveurs de noms sont actifs. Vous pouvez aussi lancer dig NS votredomaine.com dans un terminal et lire la réponse.

Selon la spécification DMARC publiée par l'IETF, le serveur destinataire interroge un seul enregistrement TXT situé à _dmarc.votredomaine.com, où votredomaine.com est le domaine de l'adresse From visible. Rien d'autre ne compte. Un enregistrement placé sur le domaine racine, ou sur mail.votredomaine.com, ne sera pas lu pour les e-mails envoyés From votredomaine.com. Le centre d'aide de GoDaddy propose des articles DMARC distincts pour ses boîtes Professional Email et Microsoft 365, mais l'enregistrement reste la même entrée TXT, quel que soit le fournisseur de messagerie qui envoie vos e-mails.

Configurer DMARC : ajouter l'enregistrement DMARC chez GoDaddy étape par étape

La configuration DMARC suit un ordre précis : d'abord SPF et DKIM pour chaque service qui envoie From votre domaine, ensuite un enregistrement DMARC en mode surveillance, puis la lecture des rapports, et seulement après l'application d'une politique. Les étapes ci-dessous concernent l'enregistrement lui-même et reprennent le parcours décrit par le centre d'aide de GoDaddy pour ajouter un enregistrement TXT. GoDaddy renomme parfois ses menus : si un bouton porte un autre nom, cherchez la page DNS ou Enregistrements DNS du domaine.

1. 1 Connectez-vous à GoDaddy et ouvrez votre portefeuille de domaines (Domain Portfolio).
2. 2 Sélectionnez le domaine et ouvrez sa page DNS, qui liste les enregistrements existants.
3. 3 Cherchez un enregistrement TXT nommé _dmarc. S'il existe déjà, modifiez-le au lieu d'en ajouter un second.
4. 4 Choisissez Ajouter un nouvel enregistrement (Add New Record) et sélectionnez le type TXT.
5. 5 Dans le champ Nom (Hôte), saisissez uniquement _dmarc. GoDaddy ajoute votre domaine automatiquement.
6. 6 Dans le champ Valeur, collez votre politique, par exemple v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.com.
7. 7 Laissez le TTL par défaut sauf raison particulière, puis enregistrez.
8. 8 Vérifiez depuis l'extérieur de GoDaddy avec dig TXT _dmarc.votredomaine.com +short, ou avec un outil public de recherche DNS. La réponse doit être une chaîne unique commençant par v=DMARC1.

DMARC n'est validé que si SPF ou DKIM passe et s'aligne sur le domaine From : un enregistrement publié avant que ces deux-là soient en place produit donc surtout des lignes en échec. Notre vérificateur SPF, DKIM et DMARC lit les trois enregistrements d'un domaine en une seule requête.

Exemple d'enregistrement DMARC pour un domaine GoDaddy

Le plus simple est de lire un exemple d'enregistrement DMARC comme trois étapes d'un même déploiement. Le Nom reste _dmarc du début à la fin, seule la Valeur change. La signification des balises provient de la spécification DMARC.

Étape	Valeur de l'enregistrement TXT _dmarc	Ce que font les destinataires
Surveillance	v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.com	Distribuent normalement, mais envoient des rapports agrégés à l'adresse rua
Quarantaine	v=DMARC1; p=quarantine; rua=mailto:dmarc@votredomaine.com	Traitent les e-mails en échec comme suspects, ce qui signifie en général le dossier spam. Une balise pct facultative limite cette mesure à une part des e-mails en échec
Rejet	v=DMARC1; p=reject; rua=mailto:dmarc@votredomaine.com	Sont invités à refuser les e-mails qui échouent à DMARC

p=none ne bloque rien : cette politique n'empêchera donc personne d'usurper votre domaine. Son rôle est de produire des rapports. Si vous restez indéfiniment en p=none, vous gagnez en visibilité mais n'appliquez aucune protection.

Quelles balises DMARC comptent dans l'enregistrement ?

La spécification DMARC définit une courte liste de balises. Seules v et p sont obligatoires, et v doit venir en premier. Toute balise omise prend la valeur par défaut fixée par la spécification.

Balise	Ce qu'elle définit	Valeur par défaut si omise
v	Version du protocole, toujours DMARC1	Obligatoire
p	Politique du domaine : none, quarantine ou reject	Obligatoire
sp	Politique des sous-domaines	Identique à p
rua	Adresse(s) des rapports agrégés XML	Aucun rapport agrégé
ruf	Adresse(s) des rapports d'échec par message	Aucun rapport d'échec
pct	Part des e-mails en échec à laquelle s'applique la politique	Tous les e-mails en échec
adkim	Alignement DKIM : r (souple) ou s (strict)	r
aspf	Alignement SPF : r (souple) ou s (strict)	r
fo	Quand les rapports d'échec sont générés	Seulement quand aucune vérification ne s'aligne
ri	Intervalle demandé entre rapports agrégés, en secondes	Un jour

En alignement souple, un sous-domaine comme mail.votredomaine.com reste aligné avec votredomaine.com. L'alignement strict exige une correspondance exacte. Beaucoup de grands destinataires ignorent ruf pour des raisons de confidentialité : ne comptez donc pas sur la réception des rapports d'échec. Notre guide de configuration DMARC détaille chaque balise, y compris le comportement de sp sur les sous-domaines.

Erreurs fréquentes avec un enregistrement DMARC GoDaddy

• Domaine complet dans le champ Nom : saisir _dmarc.votredomaine.com peut publier l'enregistrement à _dmarc.votredomaine.com.votredomaine.com, où aucun destinataire ne regardera. Saisissez uniquement _dmarc.
• Deux enregistrements DMARC : selon la spécification DMARC, si la requête renvoie plus d'un enregistrement DMARC, le destinataire ignore complètement DMARC. Fusionnez-les en un seul.
• Mauvais serveurs de noms : l'enregistrement figure sur la page DNS de GoDaddy, mais le domaine est résolu par un autre fournisseur, si bien que la requête publique ne renvoie rien.
• Adresse de rapport sur un autre domaine : si rua pointe vers une boîte d'un autre domaine, ce domaine doit publier un enregistrement TXT d'autorisation à votredomaine.com._report._dmarc.autredomaine.com. Sans lui, les destinataires risquent de ne pas y envoyer de rapports.
• Fautes de frappe dans la valeur : un point-virgule manquant, un espace dans mailto: ou DMARC au lieu de DMARC1 rend l'enregistrement invalide.
• Passer à reject trop tôt : un expéditeur oublié, comme un CRM, un outil de facturation ou une plateforme de newsletter, se met à échouer et ses e-mails sont refusés.

Comment lire les rapports DMARC ?

Les rapports agrégés arrivent à l'adresse rua sous forme de pièces jointes XML compressées, en général un par destinataire et par jour. Chaque rapport comporte un en-tête indiquant le destinataire et la période couverte, puis la politique lue dans votre enregistrement, puis une ligne par adresse IP d'envoi.

• source_ip : le serveur qui a envoyé l'e-mail. Identifiez-le pour savoir s'il s'agit de Google, Microsoft, Brevo ou d'une source inconnue.
• count : le nombre de messages envoyés depuis cette IP sur la période.
• disposition : ce que le destinataire en a fait (none, quarantine, reject).
• dkim et spf sous policy_evaluated : si chacun a réussi et s'est aligné sur le domaine From. C'est le verdict DMARC.
• auth_results : les résultats SPF et DKIM bruts, y compris le domaine signataire. Un DKIM valide pour un autre domaine que le vôtre explique pourquoi l'alignement DKIM peut quand même afficher fail.

Les lignes où ni SPF ni DKIM n'est aligné vous indiquent ce qu'il faut corriger avant de durcir p. Notre article sur comment lire les rapports DMARC décortique un fichier XML d'exemple champ par champ.

Google Workspace sur un domaine GoDaddy : SPF et DMARC

Quel est l'enregistrement SPF de Google ?

L'aide d'administration de Google Workspace indique comme enregistrement SPF un TXT sur le domaine racine avec la valeur v=spf1 include:_spf.google.com ~all. Chez GoDaddy, le Nom est @. Un domaine ne peut avoir qu'un seul enregistrement SPF. Si vous envoyez aussi via Brevo ou un autre service, ajoutez leur include dans ce même enregistrement au lieu de créer une seconde entrée v=spf1, car deux enregistrements SPF provoquent une permerror. SPF limite aussi le nombre de requêtes DNS qu'une évaluation peut déclencher : une longue chaîne d'include peut donc casser SPF même si chacun est correct. Notre article sur les enregistrements DNS Google Workspace traite MX, SPF et DKIM ensemble.

Comment fonctionne DMARC avec Google Workspace ?

Google Workspace ne publie pas DMARC à votre place. Vous ajoutez le même enregistrement TXT _dmarc chez GoDaddy. Pour que les e-mails Workspace passent DMARC via DKIM, activez la signature DKIM dans la console d'administration Google et publiez l'enregistrement TXT google._domainkey qu'elle génère. Sans votre propre clé DKIM, les e-mails Workspace ne peuvent passer DMARC que par l'alignement SPF. Les consignes de Google pour les expéditeurs exigent que les expéditeurs en masse vers Gmail publient DMARC. Notre guide de déploiement DMARC sur Google Workspace couvre aussi les domaines qui envoient via Brevo.

DMARC quand EmailFlow OS envoie via votre propre compte Brevo

EmailFlow OS est conçu autour du domaine que vous possédez déjà. Vous enregistrez une seule vidéo et la téléversez dans EmailFlow OS, vous connectez votre compte Brevo et votre domaine d'envoi, puis vous importez votre liste de prospects dans EmailFlow OS. EmailFlow OS crée ensuite une version personnalisée de cet unique enregistrement pour chaque destinataire, et non pour chaque entreprise, et envoie chaque version depuis votre propre boîte, via votre propre compte Brevo et votre propre domaine d'envoi. Rien ne part par un expéditeur partagé de la plateforme.

L'enregistrement DMARC que vous publiez chez GoDaddy est donc bien celui que les destinataires vérifient pour ces e-mails, puisque le domaine From est le vôtre. Pour que ces e-mails s'alignent via DKIM, Brevo doit les signer pour votre domaine, ce qui suppose que les enregistrements DKIM de Brevo soient eux aussi chez GoDaddy. Notre article sur la configuration DKIM GoDaddy pour Brevo détaille ces enregistrements. Les rapports agrégés affichent alors les IP de Brevo à côté de vos lignes Workspace ou Microsoft 365, et vous pouvez confirmer que ces lignes sont alignées avant de passer en quarantine. L'arrivée d'un message en boîte de réception reste décidée par le serveur destinataire. Découvrez sur la page d'accueil comment EmailFlow OS envoie des e-mails vidéo personnalisés.

Questions fréquentes

? Combien de temps faut-il pour qu'un enregistrement DMARC GoDaddy soit actif ?

Dès l'enregistrement, l'entrée est en ligne sur les serveurs de noms de GoDaddy. Les résolveurs qui ont mis en cache une réponse antérieure pour _dmarc la conservent jusqu'à expiration de son TTL. Lancez dig TXT _dmarc.votredomaine.com sur un résolveur public pour voir ce que voient les destinataires. Les premiers rapports agrégés arrivent en général après une période de rapport complète, d'un jour par défaut selon la spécification DMARC.

? L'enregistrement SPF G Suite est-il différent de celui de Google Workspace ?

Non. G Suite est l'ancien nom de Google Workspace et l'enregistrement SPF est identique : v=spf1 include:_spf.google.com ~all, en un seul TXT sur le domaine racine, selon l'aide d'administration de Google. Si votre domaine contient encore une ancienne entrée SPF G Suite, conservez un seul enregistrement v=spf1 et fusionnez-y les include des autres expéditeurs.

? Peut-on avoir deux enregistrements DMARC sur un même domaine GoDaddy ?

Non. La spécification DMARC prévoit que si une requête DMARC renvoie plus d'un enregistrement, le destinataire n'applique pas DMARC à ce domaine. Cela arrive souvent quand l'assistant de configuration d'un fournisseur de messagerie ajoute un enregistrement à côté de celui que vous avez écrit. Supprimez-en un et fusionnez les balises nécessaires dans l'autre.

? Un domaine de cold emailing doit-il démarrer en p=reject ?

En général, non. p=reject demande aux destinataires de refuser tout ce qui échoue, y compris les e-mails légitimes d'un expéditeur que vous n'avez pas encore aligné. Démarrer en p=none vous fournit des rapports agrégés listant chaque IP d'envoi. Une fois que chaque ligne légitime affiche SPF ou DKIM aligné, vous pouvez passer à quarantine, puis à reject.