Guide de configuration de Cloudblast DKIM, DMARC et « SPF »

Cloudblast est un fournisseur d'hébergement VPS dans le cloud, et non un service de messagerie. Il vous fournit un serveur, une adresse IP publique et un accès root, mais ne propose aucun écran permettant de « connecter votre domaine d'envoi ». Si vous utilisez ce VPS pour faire tourner votre propre serveur de messagerie, que ce soit via Postfix, un panneau de contrôle comme CyberPanel ou OpenPanel, ou une autre application SMTP, la configuration de l'SPF, du DKIM et du DMARC vous incombe entièrement. Ce guide explique ce qu'il faut configurer, où le faire et comment vérifier que cela fonctionne correctement.

Pourquoi authentifier un domaine hébergé sur Cloudblast ?

Cloudblast se positionne sur le marché en mettant l’accent sur l’infrastructure brute : des offres de serveurs virtuels (VPS) équipés de processeurs AMD EPYC, une protection DDoS intégrée et une facturation à l’heure destinée aux développeurs qui souhaitent gérer leur propre pile technologique. Aucune de ces offres n'inclut de service géré d'envoi d'e-mails. Ainsi, si vous configurez un serveur de messagerie sur votre instance Cloudblast, que ce soit pour un produit SaaS, une boîte de réception d'assistance ou des e-mails transactionnels, l'authentification de votre domaine nécessite une configuration DNS manuelle et ponctuelle, et n'est pas gérée par l'hébergeur à votre place.

Une configuration correcte d'SPF, DKIM et DMARC sur un environnement auto-hébergé vous permet d'obtenir les mêmes résultats que n'importe quel domaine correctement authentifié :

• Empêche l'usurpation d'identité: rend plus difficile pour quiconque l'envoi d'e-mails frauduleux ou de hameçonnage donnant l'impression de provenir de votre domaine.
• Améliore le classement dans la boîte de réception: donne à Gmail, Outlook et aux autres fournisseurs une raison de faire confiance aux e-mails provenant d'une adresse IP de serveur virtuel (VPS) sans historique d'envoi.
• Protège votre réputation d'expéditeur: les adresses IP des serveurs VPS pouvant être réattribuées ou avoir déjà été utilisées par quelqu'un d'autre, l'authentification associée à la surveillance vous aide à détecter rapidement les problèmes de réputation.
• Cela vous permet de savoir qui envoie réellement les e-mails: les rapports DMARC révèlent toutes les sources qui utilisent votre domaine pour envoyer des e-mails, ce qui est important si votre serveur Cloudblast n'est pas le seul à envoyer des e-mails sous ce nom.

Étapes de configuration d'SPF et de DKIM pour un serveur de messagerie hébergé par Cloudblast

Il n'y a pas de bouton dans le tableau de bord pour cela. Vous devrez intervenir directement auprès de votre fournisseur DNS et dans le logiciel de messagerie installé sur le VPS.

Étape 1 : Rediriger votre nom de domaine vers le serveur

Choisissez un nom d'hôte pour le courrier sortant, par exemple mail.votredomaine.com, et utilisez-le de manière cohérente dans l'ensemble de votre configuration.

1. Ajoutez un enregistrement A redirigeant mail.votredomaine.com vers l'adresse IPv4 attribuée à votre instance par Cloudblast. Ajoutez également un enregistrement AAAA si vous effectuez des envois via IPv6.

2. Dans votre panneau de configuration Cloudblast, configurez l'enregistrement PTR (DNS inversé) de cette adresse IP avec le même nom d'hôte, afin qu'une requête sur cette adresse IP renvoie vers mail.votredomaine.com.

3. Utilisez ce même nom d'hôte dans le message d'accueil SMTP (EHLO/HELO) de votre serveur de messagerie afin qu'il corresponde à celui publié dans le DNS.

Aucun de ces éléments n'est vérifié directement par SPF, DKIM ou DMARC, mais un enregistrement PTR incorrect ou manquant est une cause fréquente de rejet ou de filtrage des e-mails provenant d'un serveur auto-hébergé, avant même que l'authentification n'entre en jeu.

Étape 2 : Configurer votre enregistrement « SPF » dans Cloudblast

Votre enregistrement « SPF » doit autoriser l'adresse IP spécifique à partir de laquelle votre serveur Cloudblast effectue les envois, car Cloudblast ne fournit aucun mécanisme permettant de la référencer.

1. Indiquez toutes les adresses IP (IPv4 et IPv6) qui envoient des e-mails au nom de ce domaine. Si vous n'utilisez qu'un seul serveur virtuel (VPS), il ne s'agit généralement que d'une seule adresse.

2. Vérifiez si votre domaine dispose déjà d'un enregistrement « SPF ». Si c'est le cas, ajoutez-y l'adresse IP de Cloudblast. Un domaine ne peut avoir qu'un seul enregistrement « SPF » ; ne publiez donc jamais un deuxième enregistrement TXT en plus d'un enregistrement existant.

3. Dans votre logiciel de messagerie, configurez l'expéditeur de l'enveloppe (Return-Path) sur un domaine que vous contrôlez, tel que votredomaine.com ou un sous-domaine comme bounce.votredomaine.com. C'est ce qui permet à SPF de correspondre à l'adresse « De » visible aux fins du protocole DMARC.

4. Une fois que vous avez validé la liste complète des expéditeurs, fermez l'enregistrement avec -all. Utilisez ~all en attendant si vous êtes encore en train de vérifier que vous avez bien tout récupéré.

Exemple d'enregistrement « SPF » :

votredomaine.com. TXT « v=spf1 ip4:198.51.100.10 -all »

Si d'autres outils envoient également des e-mails depuis votre domaine, comme un CRM ou une plateforme marketing, consignez leurs mécanismes dans le même enregistrement. SPF autorise jusqu'à 10 requêtes DNS pour les mécanismes de type « include », mais une entrée IPv4 ou IPv6 directe, que vous utiliserez généralement pour un seul VPS, n'est pas prise en compte dans cette limite.

Si vous gérez plusieurs sources d'envoi et que vous approchez de la limite, notre solution « Hosted SPF » mérite votre attention ; vous pouvez d'ailleurs vérifier votre score actuel grâce à l'outil de vérification «SPF » de PowerDMARC.

Étape 3 : Configurer votre enregistrement DKIM Cloudblast

La clé DKIM doit être générée au sein de votre logiciel de messagerie, car il n'existe pas de clé fournie par Cloudblast à copier.

1. Générez une paire de clés à l'aide de l'outil de signature de votre serveur de messagerie (OpenDKIM est couramment utilisé avec Postfix, et la plupart des panneaux de contrôle intègrent un gestionnaire DKIM). Une clé RSA de 2048 bits est actuellement recommandée, à condition que votre fournisseur DNS prenne en charge la longueur d'enregistrement qui en résulte.

2. Choisissez un nom de sélecteur, qui fera partie de l'enregistrement DNS. Il est préférable d'opter pour un nom facilement identifiable, par exemple « dkim2026 ».

3. Publiez la partie publique de la clé sous forme d'enregistrement TXT, sans sauts de ligne ni guillemets superflus résultant de sa copie depuis un terminal.

Exemple d'enregistrement DKIM :

dkim2026._domainkey.votredomaine.com. TXT « v=DKIM1; k=rsa; p=[votre clé publique] »

4. Configurez votre logiciel de messagerie pour qu'il signe chaque message sortant en utilisant « d=votredomaine.com » et « s=dkim2026 », en respectant exactement les informations que vous avez publiées.

Veillez à ce que la clé privée reste confinée au processus qui signe vos e-mails, et changez de sélecteur si vous soupçonnez qu’il a été compromis. Une entrée qui se résout correctement dans le DNS confirme uniquement que la clé publique est publiée ; elle ne garantit pas que votre serveur signe effectivement avec la clé privée correspondante, c’est pourquoi il reste important de procéder à des tests avec un message réel.

Vous pouvez vérifier l'enregistrement lui-même à l'aide de l'outil de vérification DKIM de PowerDMARC.

Étapes à suivre pour activer un enregistrement DMARC sur votre domaine Cloudblast

Cloudblast n'intervient en aucune manière dans le protocole DMARC ; celui-ci est publié de manière indépendante au niveau du domaine et s'applique à toutes les sources envoyant des e-mails au nom de ce domaine, et pas uniquement à votre VPS. Créez-en un à l'aide du générateur gratuit d'enregistrements DMARC de PowerDMARC plutôt que d'écrire la syntaxe à la main.

1. Créez une boîte mail pour recevoir les rapports agrégés si vous n'en avez pas encore, par exemple [email protected].

2. Commencez par définir la politique sur p=none. Voici ce que font concrètement les trois options :

• p=none (Surveillance) : les e-mails sont acheminés normalement tandis que vous recueillez des rapports sur les expéditeurs utilisant votre domaine.
• p=quarantine (Étape) : les e-mails non authentifiés sont redirigés vers le dossier « spam ».
• p=reject (Appliquer) : les e-mails non authentifiés sont systématiquement bloqués.

3. Saisissez votre adresse de déclaration dans le champ « rua ».

4. Publiez la valeur générée sous la forme d'un enregistrement TXT unique sur _dmarc.votredomaine.com. Si un enregistrement DMARC y figure déjà suite à une configuration antérieure, remplacez-le plutôt que d'en ajouter un deuxième.

Exemple d'enregistrement en mode surveillance :

_dmarc.votredomaine.com. TXT « v=DMARC1; p=none; rua=mailto:[email protected] »

Si votre expéditeur d'enveloppe et la valeur d= de DKIM pointent tous deux vers votre propre domaine, comme indiqué aux étapes 2 et 3, un serveur Cloudblast auto-hébergé est généralement bien placé pour passer le test DMARC, quelle que soit la méthode utilisée. Cependant, ne passez pas directement à p=reject avant d’avoir vérifié cela avec des données réelles. Si votre domaine est déjà configuré sur p=quarantine ou p=reject suite à une configuration antérieure, conservez cette politique en place pendant que vous corrigez l’authentification spécifiquement pour le serveur Cloudblast.

Vérifier votre installation

Vérifiez les enregistrements DNS

Vérifiez vos enregistrements « SPF », DKIM, DMARC, A et PTR pour vous assurer qu’ils ont bien été publiés correctement et qu’ils ne contiennent aucune faute de frappe. L’outil « Domain Analyzer » de PowerDMARC permet de vérifier simultanément les enregistrements « SPF », DKIM et DMARC en une seule opération.

Envoyer un véritable e-mail de test

Le fait qu'un enregistrement soit résolu dans le DNS ne prouve pas que votre serveur l'utilise. Envoyez un véritable message via la même application et avec les mêmes identifiants que ceux utilisés par votre messagerie de production, et non via un client de messagerie de bureau distinct, qui emprunterait un chemin totalement différent.

Consulter les résultats de l'authentification

Ouvrez les en-têtes du message et vérifiez que les valeurs « spf » = « pass », « dkim » = « pass » et « dmarc » = « pass » sont présentes. Assurez-vous que la valeur « header.from » correspond à la fois à « smtp.mailfrom » (SPF) et à « header.d » (DKIM). Si vous préférez ne pas analyser vous-même les en-têtes bruts, l'analyseur d'en-têtes d'e-mails de PowerDMARC s'en charge pour vous.

Si cela ne fonctionne pas du premier coup, attendez entre 24 et 48 heures que les modifications DNS se propagent avant de poursuivre le dépannage ; un enregistrement qui vient d'être publié ne sera pas immédiatement visible partout.

Foire aux questions

En quoi cette configuration diffère-t-elle de la configuration d'SPF, de DKIM et de DMARC sur une plateforme de messagerie ?

Sur une plateforme comme Kit ou Twikey, le fournisseur génère pour vous les valeurs « SPF » et « DKIM CNAME » ; il vous suffit de les copier dans le DNS. Sur Cloudblast, il n’existe pas d’écran équivalent. C’est à vous de générer la paire de clés DKIM et d’identifier l’adresse IP d’envoi, car Cloudblast héberge uniquement le serveur, sans exécuter d’application de messagerie par-dessus.

J'ai ignoré l'étape relative au DNS inverse (PTR) et je n'ai configuré que l'SPF, le DKIM et le DMARC. L'authentification fonctionnera-t-elle quand même ?

SPF, les protocoles DKIM et DMARC continueront à fonctionner normalement, car aucun d’entre eux ne vérifie directement les enregistrements PTR. Cependant, plusieurs fournisseurs de messagerie rejettent ou filtrent fortement les connexions provenant d’une adresse IP dont le DNS inversé ne renvoie pas vers un nom d’hôte correspondant ; ainsi, les e-mails peuvent tout de même être signalés ou bloqués dès la phase de connexion, même si les trois enregistrements sont correctement publiés.

J'héberge plusieurs domaines sur le même VPS Cloudblast. Peuvent-ils tous utiliser le même sélecteur DKIM ?

Dans le DNS, les sélecteurs sont associés à un domaine spécifique (selector._domainkey.votredomaine.com) ; ainsi, un même nom de sélecteur peut techniquement être réutilisé sur différents domaines sans risque de conflit, à condition que chaque domaine publie sa propre clé publique correspondante. L’essentiel est que la valeur « d= » figurant dans chaque message signé corresponde au domaine dont le DNS héberge la clé de ce sélecteur.

Mon fichier « SPF » contient déjà d'autres services (comme un CRM ou un outil d'assistance). L'ajout de mon adresse IP Cloudblast risque-t-il de perturber leur fonctionnement ?

Non, à condition que vous modifiiez l'enregistrement existant au lieu de publier un deuxième enregistrement TXT « SPF » sur le même hôte. Ajoutez l'adresse IP de Cloudblast en tant que mécanisme IPv4 supplémentaire aux côtés de ceux déjà existants. C'est le fait qu'un domaine comporte deux enregistrements « SPF » distincts qui entraîne l'échec de SPF , et non la présence de plusieurs mécanismes au sein d'un même enregistrement.

Combien de temps après la publication de mon enregistrement DMARC mon adresse IP Cloudblast apparaîtra-t-elle dans les rapports agrégés ?

La plupart des principaux destinataires envoient des rapports agrégés (rua) selon un cycle de traitement par lots d'environ 24 heures ; il faut donc compter au moins un jour avant de recevoir votre premier rapport, voire davantage selon le volume de courriers que ce destinataire reçoit de votre domaine.

Dois-je continuer à vérifier l'authentification après la configuration initiale, ou s'agit-il d'une opération à effectuer une seule fois ?

Il convient de considérer ce processus comme continu. Une configuration VPS peut subir des dérives silencieuses : une adresse IP peut être réattribuée lors d’une migration, un sélecteur DKIM peut être renouvelé, ou quelqu’un peut modifier manuellement un enregistrement DNS, sans qu’aucun de ces événements ne génère de message d’erreur au moment de l’envoi. C’est en examinant régulièrement les rapports agrégés DMARC que vous pourrez détecter ce type de dérive avant qu’elle n’affecte la délivrabilité.

En conclusion

L'auto-hébergement de la messagerie sur un VPS Cloudblast vous offre un contrôle total sur votre infrastructure d'envoi, mais cela signifie également que la configuration et la surveillance d'SPF, DKIM et DMARC vous incombent entièrement. Si vous souhaitez bénéficier d'un regard extérieur sur votre politique, d'un accompagnement allant de la surveillance à la mise en application, ou encore d'alertes en temps réel en cas de changement, l'équipe PowerDMARC est là pour vous aider.

N'hésitez pas à nous contacter ou à vous inscrire à une démonstration avec PowerDMARC pour découvrir comment fonctionne la surveillance continue de l'authentification dans le cadre d'une configuration autogérée comme celle-ci.

• À propos de
• Derniers messages

Ayan Bhuiya

Responsable d'équipe, expert en infrastructure et sécurité des e-mails chez PowerDMARC

Avec plus de 13 ans d'expérience en cybersécurité, Ayan Bhuiya est spécialisé dans l'infrastructure, la continuité des activités, la gestion des risques et la sécurité du courrier électronique. Il est actuellement chef d'équipe chez PowerDMARC. Il est titulaire d'un diplôme d'études supérieures en réseaux et en sécurité et a fait ses preuves dans la conduite d'initiatives stratégiques de sécurité visant à atténuer les menaces et à assurer la résilience des entreprises.

Derniers messages de Ayan Bhuiya (voir tous)

• Guide de configuration de Cloudblast DKIM, DMARC et « SPF » - 12 août 2026
• Comment configurer SPF, DKIM et DMARC sur Beehiiv [2026] - 7 juillet 2026
• Guide de dépannage et de résolution des codes d'erreur Microsoft - 22 juin 2026