Connecter Google Workspace

Module 7: Connecter des services externes · Temps de lecture : 8 minutes

Objectif pédagogique : après cette leçon, vous saurez placer les enregistrements DNS pour Google Workspace et vérifier qu'ils sont correctement configurés.

Notions clés : TXT de vérification (google-site-verification=), MX smtp.google.com, ancien jeu ASPMX, SPF include:_spf.google.com, TXT DKIM google._domainkey, console Google Admin

Ce dont Google a besoin dans votre DNS

Google Workspace (Gmail, Agenda et Drive avec votre propre domaine) fonctionne globalement de la même façon que Microsoft 365 vu à la leçon 7.1. Vous réglez quatre choses dans le DNS :

1. vérification : prouver que le domaine vous appartient ;
2. MX : faire arriver le courrier chez Google ;
3. SPF : autoriser Google à envoyer des e-mails au nom de votre domaine ;
4. DKIM : une signature sous vos e-mails.

Vient ensuite DMARC (leçon 4.5). Un enregistrement autodiscover comme chez Microsoft n'est pas nécessaire pour Gmail.

Ici aussi : reprenez les valeurs indiquées dans la console Google Admin pour votre domaine. Google ajuste parfois les instructions. Les exemples ci-dessous sont corrects au moment de la rédaction.

Étape 1 : vérification avec un enregistrement TXT

Lors de l'ajout de votre domaine, Google fournit un code. Vous le placez en enregistrement TXT sur le domaine nu :

example.com.   3600   IN   TXT   "google-site-verification=AbCdEf123456..."

Google Search Console utilise le même type d'enregistrement. Si vous en avez déjà un, le nouveau peut simplement s'ajouter à côté. Plusieurs enregistrements TXT sur @ sont autorisés ; seul SPF ne peut apparaître qu'une seule fois (leçon 4.2).

Google peut aussi proposer un enregistrement CNAME pour la vérification, avec un nom qui ressemble à un long code. Choisissez ce qui est le plus simple dans votre panneau. Les deux fonctionnent.

Étape 2 : le MX vers Google

Depuis 2023, Google propose pour les nouveaux domaines un seul enregistrement MX :

example.com.   3600   IN   MX   1 smtp.google.com.

Vous retrouvez dans d'anciens guides ou pour des domaines existants un jeu de cinq enregistrements ? Il fonctionne toujours :

example.com.   3600   IN   MX   1  aspmx.l.google.com.
example.com.   3600   IN   MX   5  alt1.aspmx.l.google.com.
example.com.   3600   IN   MX   5  alt2.aspmx.l.google.com.
example.com.   3600   IN   MX   10 alt3.aspmx.l.google.com.
example.com.   3600   IN   MX   10 alt4.aspmx.l.google.com.

Vous n'êtes pas obligé de convertir un ancien jeu qui fonctionne. Choisissez toutefois l'une des deux méthodes, et ne les mélangez pas avec les enregistrements MX de votre précédent fournisseur.

Comme pour Microsoft :

• Supprimez les anciens enregistrements MX. Si vous les laissez, une partie des expéditeurs les utilisera malgré tout, par exemple si Google ne répond pas immédiatement. Ces e-mails arriveront alors à l'ancien endroit.
• Désactivez la remise locale chez votre hébergeur web. Si votre site tourne chez un hébergeur qui propose aussi la messagerie, ce serveur peut encore remettre localement les e-mails de vos propres formulaires. Dans DirectAdmin, c'est la case « Utiliser ce serveur pour gérer mes e-mails ».

Le chiffre avant le serveur de messagerie (1) est la priorité. Avec un seul enregistrement MX, ce chiffre n'a pas d'importance ; reprenez celui indiqué par Google (leçon 4.1).

Étape 3 : compléter le SPF

Google souhaite apparaître dans votre enregistrement SPF avec :

include:_spf.google.com

Attention au tiret bas devant spf. Complétez votre enregistrement SPF existant plutôt que d'en créer un second :

example.com.   3600   IN   TXT   "v=spf1 a mx include:spf.hosting.example include:_spf.google.com ~all"

Si vous n'utilisez plus votre hébergeur web pour envoyer des e-mails, vous pouvez supprimer include:spf.hosting.example. En cas de doute, laissez-le : un formulaire de contact sur votre site envoie souvent ses e-mails via le serveur web.

Étape 4 : DKIM avec un enregistrement TXT

Chez Google, DKIM est un enregistrement TXT contenant une clé publique, et non un CNAME comme chez Microsoft. Vous créez d'abord la clé dans la console Admin (dans les paramètres Gmail, sous la section dédiée à la vérification des e-mails). Google vous fournit alors :

google._domainkey.example.com.   3600   IN   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

• Le nom est google._domainkey. google est le sélecteur (leçon 4.4). Vous pouvez choisir un autre sélecteur dans la console Admin ; le nom change alors en conséquence.
• La valeur est longue. Dans la console Admin, privilégiez une clé de 2048 bits. Certains panneaux ne peuvent pas enregistrer de valeur TXT de plus de 255 caractères ; choisissez alors 1024 bits, ou utilisez un panneau qui découpe lui-même les longues valeurs en morceaux.
• Collez la valeur en une seule fois, sans espaces ni retours à la ligne supplémentaires.

Une fois l'enregistrement en ligne, cliquez dans la console Admin sur le bouton pour démarrer la signature. Ce n'est qu'alors que Google signe vos e-mails. Si, dans Gmail, un e-mail de test affiche sous « Afficher l'original » un DKIM PASS avec d=example.com, c'est réussi.

Les enregistrements DKIM de différents services ne se gênent pas mutuellement, car chaque sélecteur possède son propre nom. Une clé de votre hébergeur web (par exemple x._domainkey) peut donc rester en place à côté de google._domainkey.

Étape 5 : DMARC

Gmail fait partie des acteurs qui, pour les gros expéditeurs, attendent depuis 2024 un enregistrement DMARC. Si vous n'avez pas encore d'enregistrement DMARC, commencez par p=none avec une adresse de rapport, puis renforcez-le plus tard (leçon 4.5) :

_dmarc.example.com.   3600   IN   TXT   "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

En pratique : à quoi cela ressemble dans un panneau

Dans le panneau d'exemple Mon WebOké, vous choisissez dans l'onglet DNS, à la section Configuration rapide, l'option Google Workspace. Vous voyez au préalable le MX et l'ajout SPF, et la remise locale est désactivée. Le code de vérification et la clé DKIM vous sont fournis par Google ; vous les ajoutez vous-même en enregistrement TXT. Dans DirectAdmin, vous choisissez dans Enregistrements MX le modèle Google Workspace et vous décochez la case de remise.

Dans d'autres panneaux, comme cPanel, Plesk, Cloudflare ou l'écran DNS de votre registrar, les boutons portent un autre nom, mais vous remplissez les mêmes champs : nom, type, valeur et TTL. Certains registrars disposent d'un modèle prêt à l'emploi pour Google.

Résumé

• Reprenez les valeurs indiquées dans la console Google Admin.
• Vérification : TXT google-site-verification=... sur @ (ou le CNAME proposé par Google).
• MX : 1 smtp.google.com. ; l'ancien jeu de cinq enregistrements ASPMX fonctionne aussi. Supprimez les enregistrements MX de votre précédent fournisseur.
• SPF : ajoutez include:_spf.google.com à l'enregistrement existant.
• DKIM : TXT sur google._domainkey, puis activez la signature dans la console Admin.

Quiz

Exercice

Exercice Z7.2 : reconnaître Google Workspace. Comparez l'ancienne et la nouvelle méthode pour le courrier Google.

1. Recherchez l'enregistrement MX de google.com. Notez le nom du serveur de messagerie.
2. Recherchez les enregistrements MX de shopify.com. Cette entreprise utilise le courrier Google avec l'ancien jeu. Combien d'enregistrements MX voyez-vous, et quel nom a la priorité la plus basse (le chiffre le plus bas) ?
3. Recherchez l'enregistrement SPF de google.com et notez l'include.

Saisissez vos réponses. La vérification interroge les enregistrements en direct au moment de la soumission.

Exercice O7.2 : configurer vous-même dans votre zone d'entraînement. Connectez votre zone d'entraînement <code>.dnspractice.eu à un Google Workspace simulé. Dans la zone d'entraînement, vous utilisez le faux service mailsuite-demo.dnspractice.eu ; pour votre véritable domaine, vous reprenez les valeurs de la console Google Admin.

1. Vérification : placez un enregistrement TXT sur <code>.dnspractice.eu avec le code fourni par la page de l'exercice (google-site-verification=oefen-<code>-<...>).
2. MX : faites en sorte que <code>.dnspractice.eu reçoive le courrier sur smtp.mailsuite-demo.dnspractice.eu. avec la priorité 1. Aucun autre MX ne doit rester sur <code>.dnspractice.eu, y compris celui d'un exercice précédent.
3. SPF : assurez-vous que l'enregistrement SPF sur <code>.dnspractice.eu contienne include:_spf.mailsuite-demo.dnspractice.eu. Il ne peut y avoir qu'un seul enregistrement SPF.

Pour aller plus loin

Ces pages décrivent les étapes dans les panneaux de WebOké (DirectAdmin et Mon WebOké). Dans d'autres panneaux, le principe est le même.

• Guide DirectAdmin 5.10: E-mail chez Microsoft 365 ou Google Workspace, site web chez WebOké
• Guide WebOké 5.6: Configurer rapidement la messagerie dans le DNS
• Votre e-mail ailleurs : Microsoft 365, Google Workspace ou votre propre serveur de messagerie
• Guide DirectAdmin 5.8: Activer et vérifier DKIM
• Guide DirectAdmin 5.5: Enregistrements MX : où arrive votre e-mail ?