Services de newsletter et d'envoi

Module 7: Connecter des services externes · Temps de lecture : 8 minutes

Objectif pédagogique : Après cette leçon, vous saurez relier un service de newsletter ou d'envoi de façon à ce que vos messages n'atterrissent pas dans les spams.

Notions clés : vérification de domaine (authentification), DKIM via CNAME, selector, include SPF uniquement si le service le demande, limite de 10 recherches, alignement DMARC via DKIM, ne pas toucher au MX

Pourquoi un service de newsletter demande des enregistrements

Un service de newsletter comme Mailchimp, Brevo ou MailerLite, ou un service d'envoi pour vos factures et confirmations, envoie des messages avec votre adresse comme expéditeur, par exemple nieuws@example.com. Mais le message provient des serveurs de ce service, pas de votre serveur de messagerie.

Des destinataires comme Gmail et Outlook.com vérifient alors : ce serveur est-il autorisé à envoyer des messages pour le compte de example.com, et la signature est-elle correcte (leçons 4.3 à 4.5) ? Si ce n'est pas réglé, votre newsletter finit dans les spams, ou le service réécrit votre expéditeur avec sa propre adresse. C'est pourquoi le service vous demande d'authentifier votre domaine : quelques enregistrements dans votre DNS.

Ce dont le service n'a pas besoin : vos enregistrements MX. Ceux-ci déterminent où va votre courrier entrant. Une newsletter, vous l'envoyez uniquement ; les réponses arrivent normalement dans votre propre boîte aux lettres. Ne modifiez donc jamais votre MX pour un service de newsletter.

DKIM via CNAME

La plupart des services vous laissent gérer DKIM avec des enregistrements CNAME. Le service conserve lui-même la clé ; vous ne faites qu'y pointer. Ainsi, le service peut remplacer la clé sans que vous ayez quoi que ce soit à faire.

Mailchimp utilise, au moment de la rédaction, deux enregistrements pour les comptes plus récents :

k2._domainkey.example.com.   3600   IN   CNAME   dkim2.mcsv.net.
k3._domainkey.example.com.   3600   IN   CNAME   dkim3.mcsv.net.

Les comptes plus anciens ont souvent un seul enregistrement k1._domainkey vers dkim.mcsv.net. D'autres services utilisent d'autres selectors, comme brevo1._domainkey ou ml._domainkey. Reprenez exactement ce qu'affiche le tableau de bord de votre service. Les noms et les cibles varient selon le service et le compte, et ils changent parfois.

k2 et k3 sont des selectors (leçon 4.4). Chaque service possède son propre selector, de sorte que les enregistrements ne se gênent pas entre eux ni avec la clé DKIM de votre propre serveur de messagerie.

Trois erreurs que presque tout le monde fait un jour

1. Nom de domaine en double. Votre panneau ajoute souvent lui-même votre nom de domaine après le nom saisi. Si vous saisissez k2._domainkey.example.com, cela devient k2._domainkey.example.com.example.com. Saisissez uniquement k2._domainkey, sauf si votre panneau demande explicitement le nom complet. Le champ indique généralement en dessous le nom final.
2. Oublier le point final de la valeur. Sans ce point, votre panneau transforme peut-être dkim2.mcsv.net en dkim2.mcsv.net.example.com. Certains panneaux ajoutent le point eux-mêmes ; vérifiez après l'enregistrement à quoi ressemble l'enregistrement (leçon 2.2).
3. TXT au lieu de CNAME. Si le service demande un CNAME, créez un CNAME. Un enregistrement TXT contenant le texte dkim2.mcsv.net ne sert à rien.

SPF : uniquement si le service le demande

Avec SPF, beaucoup pensent que chaque service qui envoie des messages doit figurer dans leur enregistrement SPF. Ce n'est pas toujours le cas.

SPF vérifie l'adresse présente dans l'enveloppe du message (le Return-Path), pas l'adresse d'expéditeur que vous voyez. De nombreux services de newsletter, dont Mailchimp, utilisent dans l'enveloppe leur propre domaine. Leur contrôle SPF porte donc sur leur propre domaine, et votre enregistrement SPF n'entre pas en jeu. Mailchimp ne demande donc pas d'include dans votre enregistrement SPF.

D'autres services utilisent en revanche une adresse sur votre domaine dans l'enveloppe, ou vous laissent configurer un sous-domaine dédié (par exemple bounce.example.com). Ceux-ci demandent un include: dans votre enregistrement SPF, ou un enregistrement SPF sur ce sous-domaine. Faites donc exactement ce que le service demande :

• si le service demande un include, placez-le dans votre enregistrement SPF existant, jamais dans un second (leçon 4.3) ;
• si le service ne le demande pas, n'ajoutez rien.

Pourquoi être économe ? Un enregistrement SPF peut déclencher au maximum 10 recherches DNS lors d'un contrôle. Chaque include, a, mx, exists et redirect compte, et les includes d'un service contiennent eux-mêmes souvent d'autres includes. Avec un hébergeur web, Microsoft 365, un service de newsletter, un logiciel de comptabilité et un CRM, vous dépassez vite la limite. Tout votre enregistrement SPF devient alors invalide (permerror). Supprimez les includes des services que vous n'utilisez plus, ou qui ne les demandent pas.

DMARC : c'est là que ça se joue

DMARC (leçon 4.5) approuve un message si SPF ou DKIM réussit et correspond au domaine de l'adresse d'expéditeur (alignement). Avec un service de newsletter qui utilise son propre domaine dans l'enveloppe, SPF ne peut jamais s'aligner avec example.com. DMARC ne peut alors réussir que via DKIM : une signature avec d=example.com, que vous n'obtenez qu'en ayant configuré les enregistrements CNAME.

Par conséquent :

1. configurez d'abord les enregistrements DKIM du service ;
2. attendez que le service indique que votre domaine est authentifié ;
3. envoyez-vous un test et vérifiez dans les en-têtes que DKIM indique pass avec d=example.com ;
4. ce n'est qu'ensuite que vous ajustez votre politique DMARC de none vers quarantine ou reject.

Si vous n'avez pas encore d'enregistrement DMARC, de nombreux services vous demandent d'en créer un. Commencez par p=none (leçon 4.5). De grands destinataires comme Gmail et Yahoo exigent depuis 2024 que les expéditeurs en masse disposent d'un enregistrement DMARC.

Réponses et bounces

Si un lecteur répond à votre newsletter, la réponse part vers l'adresse de réponse que vous configurez dans le service, et via votre MX vers votre propre boîte aux lettres. Les messages non délivrables (bounces) partent vers l'adresse de l'enveloppe, donc vers le service, qui les traite. Là non plus, vous n'avez rien à faire sur votre MX.

En pratique : à quoi cela ressemble dans un panneau

Dans le panneau d'exemple DirectAdmin, ouvrez Administration DNS, cliquez sur Ajouter un Enregistrement, choisissez CNAME, saisissez uniquement k2._domainkey dans Nom et dkim2.mcsv.net. avec le point dans Valeur. Faites ensuite de même pour k3. Dans Mon WebOké, la démarche est identique sous l'onglet DNS ; la fenêtre affiche sous le champ du nom le nom complet et avertit si le point manque.

Dans d'autres panneaux, comme cPanel, Plesk, Cloudflare ou l'écran DNS de votre bureau d'enregistrement, les boutons portent d'autres noms, mais ce sont les mêmes champs. Avec Cloudflare, faites attention au proxy : configurez les enregistrements DKIM en "DNS only" (Cloudflare le fait généralement déjà lui-même pour les CNAME avec _domainkey).

Résumé

• Un service de newsletter n'a pas besoin de vos enregistrements MX ; laissez-les en place.
• DKIM passe généralement par des enregistrements CNAME avec un selector propre. Reprenez ce qu'affiche votre tableau de bord.
• Saisissez uniquement la première partie du nom et faites attention au point final de la valeur.
• Ajoutez un include SPF uniquement si le service le demande, dans votre enregistrement existant, et restez sous les 10 recherches.
• Avec ces services, DMARC réussit via l'alignement DKIM ; ne durcissez votre politique qu'une fois DKIM fonctionnel.

Quiz

Exercice

Exercice Z7.4 : Reconnaître un service de newsletter. Observez comment un service de newsletter gère lui-même son DKIM.

1. Recherchez l'enregistrement CNAME de k2._domainkey.mailchimp.com et de k3._domainkey.mailchimp.com. Notez les noms de cible.
2. Recherchez l'enregistrement SPF de mailchimp.com et comptez combien de parties include: il contient.

La vérification interroge les enregistrements en direct lors de la soumission.

Exercice O7.4 : Configurer vous-même dans votre zone d'entraînement. Reliez un service de newsletter simulé à votre zone d'entraînement <code>.dnspractice.eu. Dans la zone d'entraînement, utilisez le faux service newsletter-demo.dnspractice.eu ; pour votre vrai domaine, reprenez les valeurs du tableau de bord de votre service de newsletter.

1. Créez un CNAME k2._domainkey.<code>.dnspractice.eu vers dkim2.newsletter-demo.dnspractice.eu. Faites attention au nom : pas de zone en double à la suite.
2. Créez un CNAME k3._domainkey.<code>.dnspractice.eu vers dkim3.newsletter-demo.dnspractice.eu.
3. Assurez-vous qu'il n'y a sur <code>.dnspractice.eu qu'un seul enregistrement SPF, commençant par v=spf1 et se terminant par ~all ou -all. N'ajoutez aucun include pour ce service.
4. Laissez vos enregistrements MX sur <code>.dnspractice.eu en place : ce service n'en a pas besoin.

Pour aller plus loin

Ces pages décrivent les étapes dans les panneaux de WebOké (DirectAdmin et Mon WebOké). Dans d'autres panneaux, le fonctionnement est similaire.

• Gérer les enregistrements DNS dans Mon WebOké (avec des exemples pour CNAME, TXT et services externes)
• Guide DirectAdmin 5.4: Enregistrements CNAME et le point final
• Guide DirectAdmin 5.8: Activer et vérifier DKIM
• Guide DirectAdmin 5.7: Configurer et compléter le SPF
• Qu'est-ce que le DMARC ? Explication en termes simples