Comment configurer DMARC pour Google Workspace (Gmail)

Points clés à retenir

DMARC pour Google Workspace indique aux serveurs destinataires comment réagir lorsque des e-mails provenant de votre domaine échouent aux vérifications SPF DKIM : quarantine , les rejeter ou simplement les signaler.
Google Workspace gère l'envoi des e-mails sortants, mais ne configure pas le DMARC à votre place ; il s'agit d'un enregistrement DNS que vous devez publier vous-même auprès de votre hébergeur de domaine.
Pour que DMARC fonctionne, il faut d'abord que SPF DKIM soient mis en place. Il ne peut pas fonctionner si au moins l'un d'entre eux n'est pas configuré correctement.
Vous publiez DMARC sous forme d'enregistrement TXT, en commençant par p=none pour la surveillance.
Depuis l'entrée en vigueur des règles de Google de 2024 relatives aux expéditeurs en masse, les domaines envoyant plus de 5 000 messages par jour vers Gmail doivent disposer du protocole DMARC ; ce n'est plus facultatif.
Ne passez de p=none àquarantine p=reject qu’après avoir reçu des rapports confirmant que vos expéditeurs légitimes ont été validés.

DMARC pour Google Workspace (Gmail) indique aux serveurs destinataires comment réagir lorsque des e-mails provenant de votre domaine échouent aux vérifications SPF DKIM : s’il faut les quarantine, les rejeter ou simplement les signaler. Google Workspace gère l’envoi des e-mails et la génération des clés DKIM, mais ne publie pas d’enregistrement DMARC à votre place. Cet enregistrement DNS, que vous devez configurer vous-même, constitue la seule barrière entre votre domaine et les attaques par usurpation d’identité.

Depuis l'entrée en vigueur des exigences de Google de 2024 concernant les expéditeurs de masse, le protocole DMARC n'est plus facultatif pour les expéditeurs à fort volume : tout domaine envoyant 5 000 messages ou plus par jour vers Gmail doit disposer d'un enregistrement DMARC valide, sous peine de voir ses messages rejetés.

Si vous cherchez à savoir comment configurer DMARC spécifiquement pour Gmail, la procédure est la même : Gmail utilise l’infrastructure de messagerie de Google ; les étapes de configuration ci-dessous s’appliquent donc que vous disposiez d’un forfait Google Workspace personnel ou que vous envoyiez des e-mails via Gmail pour les entreprises. Ce guide couvre tout ce dont vous avez besoin : les prérequis SPF DKIM, l'enregistrement exact à publier, une explication détaillée de chaque balise, ainsi qu'un guide étape par étape allant de la surveillance (p=none) à l'application stricte (p=reject), avec des exemples d'enregistrements et les erreurs courantes qui peuvent perturber le flux de messagerie.

Qu'est-ce que le DMARC, et pourquoi est-il indispensable pour Google Workspace ?

DMARC (Domain-based Message Authentication, Reporting, and Conformance) est une norme d'authentification des e-mails basée sur le DNS qui associe SPF DKIM, indique aux serveurs destinataires comment traiter les messages qui ne satisfont pas à ces vérifications et vous envoie des rapports sur les personnes qui utilisent votre domaine pour envoyer des e-mails.

Voici ce que beaucoup de gens ignorent : Google Workspace sécurise le transport. Il chiffre les connexions avec TLS, filtre les spams entrants et achemine vos e-mails sortants de manière fiable. Mais DMARC est un contrôle au niveau du domaine que seul le propriétaire du domaine peut configurer. Google ne publie pas d’enregistrement DMARC à votre place, et aucun filtrage anti-spam de la part de Google n’empêchera un pirate d’usurper votre domaine pour envoyer des e-mails de hameçonnage à d’autres personnes. C’est précisément cette faille que DMARC comble.

Cela n'est d'ailleurs plus facultatif. Conformément aux les exigences de Google relatives aux expéditeurs de messages en masse mises en place en février 2024 et dont l’application ne cesse de s’étendre, tout domaine envoyant 5 000 messages ou plus par jour à des adresses Gmail doit publier un enregistrement DMARC, faute de quoi Google commencera à rejeter les e-mails. Même en dessous de ce seuil, le protocole DMARC constitue désormais la norme minimale pour garantir une bonne délivrabilité.

Si vous souhaitez une explication conceptuelle complète, consultez notre guide détaillé sur qu'est-ce que le DMARC.

Conditions préalables : configurez d'abord SPF DKIM

DMARC n'authentifie pas les e-mails en soi. Il s'appuie sur les protocoles SPF DKIM et applique le résultat. Pour que DMARC soit validé, au moins l'un d'entre eux doit être validé et être aligné sur votre domaine. Avant de publier un enregistrement DMARC, veillez donc à ce que ces deux éléments soient en place. Vous trouverez ci-dessous des versions condensées ; chacune renvoie vers le guide complet.

SPF Google Workspace (configuration rapide)

SPF un enregistrement TXT unique associé à votre domaine racine qui répertorie les serveurs autorisés à envoyer des e-mails en votre nom. Pour Google Workspace, l'enregistrement indispensable est le suivant :

v=spf1 include:_spf.google.com ~all

v=spf1 ouvre l'enregistrement, include:_spf.google.com autorise les serveurs de messagerie de Google, et ~all rejette en douceur tout le reste. Si vous envoyez des e-mails via des services supplémentaires, ajoutez leurs instructions « include » au même enregistrement (ne créez jamais un deuxième SPF ) :

v=spf1 include:_spf.google.com include:servers.mcsv.net include:sendgrid.net ~all

Pour une analyse approfondie et exhaustive de l'aplatissement, des recherches et des cas limites, consultez notre guide complet surSPF pour Google Workspace .

DKIM pour Google Workspace (configuration rapide)

Le protocole DKIM ajoute une signature cryptographique à vos e-mails sortants. Google Workspace génère la clé pour vous ; vous devez la publier dans le DNS :

Dans la console d'administration, accédez à Applications → Google Workspace → Gmail → Authentification des e-mails.
Sélectionnez votre domaine, puis cliquez sur « Générer un nouvel enregistrement » (un enregistrement de 2 048 bits est recommandé).
Copiez l'enregistrement TXT généré par Google. Il s'agit d'un nom d'hôte de la forme google._domainkey, suivi d'une longue chaîne de caractères commençant par v=DKIM1; k=rsa; p=….
Publiez cet enregistrement TXT chez votre hébergeur DNS.
Revenez à la console d'administration et cliquez sur « Démarrer l'authentification ».

L'enregistrement se présente comme suit :

Host/Name: google._domainkey.yourdomain.com Type: TXT Value: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...

Pour un guide complet, découvrez comment configurer DKIM pour votre domaine.

Note: Google Workspace handles DKIM signing (you generate the key in the Admin Console) and SPF is a DNS record you publish yourself, but Google does not create or publish a DMARC record for your domain. That part is entirely on you, and it's what the rest of this guide covers.

Comment configurer un enregistrement DMARC pour Google Workspace

Une fois SPF DKIM activés, vous êtes prêt pour DMARC. Voici la procédure complète, étape par étape.

Étape 1 : Créer votre enregistrement DMARC

Un enregistrement DMARC est une entrée TXT unique composée de balises. Voici à quoi ressemble un enregistrement de base simple :

v=DMARC1; p=none; rua=mailto:[email protected];

Vous pouvez créer cela de manière visuelle grâce à notre générateur DMARC, qui génère la syntaxe à votre place. Voici la fonction de chaque balise :

v: sert à définir la version du protocole, qui est toujours DMARC1. Il s'agit d'une balise obligatoire
p: sert à définir le mode de la politique DMARC ; il s'agit également d'une balise obligatoire.
rua: sert à désigner l'adresse de rapport agrégée. Il s'agit d'une balise facultative, mais son utilisation est fortement recommandée pour surveiller les résultats d'authentification.

Note: The one tag people misread is p. p=none, which is the starting point, not the end state, as it only monitors and reports, it doesn't protect anything yet. The goal is to reach p=reject without breaking mail flow.

Étape 2 : Publier l'enregistrement dans le DNS

DMARC se configure dans votre DNS, auprès de votre registraire de domaine ou de votre hébergeur DNS, et et non dans la console d'administration Google. DMARC est un enregistrement DNS, et non un paramètre de Google Workspace. Dans votre panneau de configuration DNS, ajoutez :

#	Champ	Valeur
1.	Type	TXT
2.	Hôte/Nom	_dmarc (de nombreux panneaux ajoutent automatiquement votre domaine → _dmarc.votredomaine.com)
3.	Valeur	v=DMARC1 ; p=none ; rua=mailto:[email protected]
4.	TTL	3 600 ou conserver la valeur par défaut

Ne t'en fais pas. La propagation DNS peut prendre jusqu'à 48 heures, même si elle est généralement beaucoup plus rapide, souvent en moins d'une heure.

Étape 3 : Vérifiez votre enregistrement DMARC

Une fois publié, vérifiez qu’il se résout correctement à l’aide de notre vérificateur d'enregistrements DMARC. Une vérification réussie affiche votre enregistrement et confirme que la syntaxe est valide. Par exemple, elle indiquera que la politique détectée est « p=none », qu’une adresse de rapport RUA valide a été fournie et qu’il n’y a pas d’erreurs de syntaxe. Si l’outil de vérification ne parvient pas à trouver l’enregistrement, laissez plus de temps au DNS pour se propager ou vérifiez à nouveau le champ « hôte/nom ».

Étape 4 : Examiner les rapports avant d'appliquer les mesures

Lorsque le paramètre « p=none » est activé, Google et les autres serveurs destinataires commencent à envoyer des rapports agrégés (RUA) à l'adresse indiquée dans votre balise RUA. Ces rapports répertorient toutes les sources envoyant des e-mails au nom de votre domaine et indiquent si chacune d'entre elles respecte ou non les règles SPF DKIM.

Ce que vous recherchez : des sources légitimes qui présentent des dysfonctionnements. Une plateforme marketing, un CRM, un outil d’assistance ou un service de facturation que vous utilisez réellement peut ne pas être correctement configuré, car son SPF son DKIM n’est pas encore configuré sous votre domaine. Corrigez ces problèmes avant d’appliquer les règles ; sinon, le passage en quarantine le rejet commencera à bloquer vos propres e-mails.

Le format XML brut DMARC étant difficile à lire, vous pouvez utiliser notre guide « Comment lire les rapports DMARC » pour les interpréter. Il est recommandé de prévoir une période de surveillance d’au moins 2 à 4 semaines, afin de couvrir l’intégralité de votre cycle d’envoi.

Étape 5 : Passer à la phase d'exécution (quarantine, puis p = rejet)

Une fois que vos rapports indiquent que tous les expéditeurs légitimes sont autorisés, renforcez progressivement la politique :

p=aucun →quarantine: les e-mails non livrés sont envoyés dans le dossier « spam » au lieu de la boîte de réception. Consultez à nouveau les rapports.
p =quarantine p = rejet: les e-mails non conformes sont immédiatement bloqués. C'est là qu'intervient la véritable protection anti-usurpation.

Pour un déploiement encore plus sûr, utilisez le balise t (t=y) pour tester votre politique avant de passer à une application maximale. Pour en savoir plus sur le choix et l’évolution de votre niveau d’application, consultez notre guide sur les politiques DMARC .

Exemples d'enregistrements DMARC pour Google Workspace

Voici trois modèles prêts à être copiés, adaptés à votre situation actuelle. Remplacez les adresses e-mail par les vôtres.

Surveillance de base (Pour commencer)

v=DMARC1; p=none; rua=mailto:[email protected];

Quarantine génération de rapports

v=DMARC1; p=quarantine; rua=mailto:[email protected]; adkim=r; aspf=r;

Application intégrale

v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s;

Note: the strict alignment here (adkim=s, aspf=s) requires the domain in the DKIM signature or SPF to match your sending domain exactly, with no subdomains. Relaxed (r) allows subdomains to align. Example mail from mail.yourdomain.com still aligns with yourdomain.com. Use relaxed while you're stabilizing, and only switch to strict once you're certain every legitimate sender uses your exact domain.

Erreurs courantes liées au DMARC dans Google Workspace

Publication d'un enregistrement DMARC sans SPF DKIM en place

DMARC ne peut rien faire si ni SPF DKIM ne sont validés et alignés. Mettre en place DMARC en premier, en particulier avec un niveau quarantine de rejet, signifie que vos propres e-mails risquent de ne plus être délivrés. Assurez-vous toujours que SPF DKIM fonctionnent correctement, puis ajoutez DMARC par-dessus.

Rester sur « p=none » indéfiniment

La valeur « p=none » se contente de surveiller ; elle ne bloque rien. De nombreux domaines l'utilisent, voient les rapports arriver, mais ne font jamais rien pour y remédier. Les usurpateurs ne sont pas affectés tant que vous n'avez pas activé « p=reject ». Considérez « none » comme une phase de surveillance temporaire, et non comme une solution définitive.

Absence d'expéditeurs tiers dans les en-têtes SPF

Les outils marketing, les CRM, les systèmes de gestion des tickets et les services de facturation envoient tous des e-mails « en votre nom ». S’ils ne figurent pas dans votre liste SPF ou s’ils ne signent pas avec un DKIM correspondant, ils échoueront au test DMARC et leurs e-mails seront bloqués dès que vous appliquerez la politique. Utilisez vos rapports de surveillance pour identifier tous ces expéditeurs avant de renforcer la politique.

Utilisation d'un nom d'hôte DNS incorrect

L'erreur de syntaxe la plus courante consiste à placer « _dmarc » dans le champ « value » de l'enregistrement au lieu du champ « host/name », ou à oublier complètement le trait de soulignement initial. Le champ « host/name » doit contenir « _dmarc » (qui doit se résoudre en « _dmarc.votredomaine.com ») ; la valeur est la chaîne « v=DMARC1; … ».

Présence de plusieurs enregistrements DMARC sur un même domaine

Un domaine ne peut comporter qu'un seul enregistrement DMARC. La présence de deux enregistrements TXT _dmarc ou plus entraîne l'ignorance totale du DMARC par les destinataires, ce qui désactive votre protection. Si vous souhaitez mettre à jour l'enregistrement, modifiez celui qui existe déjà au lieu d'en ajouter un deuxième.

Comment PowerDMARC simplifie la gestion du protocole DMARC pour Google Workspace

La gestion manuelle du DMARC fonctionne, mais c'est dans les tâches récurrentes, comme la lecture des rapports XML bruts, l'identification des expéditeurs non conformes et le passage en toute sécurité du statut « aucun » au statut « rejet », que la plupart des domaines se heurtent à des difficultés.

PowerDMARC transforme ces rapports XML en tableaux de bord faciles à comprendre, vous offre un service DMARC hébergé pour que vous puissiez mettre à jour votre politique sans avoir à modifier le DNS à chaque fois, vous guide tout au long du processus d’application automatisée et envoie des alertes en temps réel dès qu’une nouvelle source commence à envoyer des e-mails au nom de votre domaine, afin que vous puissiez atteindre plus rapidement une protection totale contre les rejets (p=reject) sans bloquer les e-mails légitimes.

Foire aux questions

1. Google Workspace intègre-t-il la fonctionnalité DMARC ?

Non. Google Workspace gère la sécurité du transport, le filtrage des spams et la génération de clés DKIM, mais ne crée ni ne publie d'enregistrement DMARC à votre place. DMARC est un enregistrement DNS que le propriétaire du domaine doit publier séparément.

2. Comment ajouter un enregistrement DMARC à Google Workspace ?

Vous ne l'ajoutez pas dans la console d'administration ; vous devez le publier sous forme d'enregistrement TXT chez votre hébergeur DNS, avec le nom d'hôte _dmarc et une valeur du type v=DMARC1; p=none; rua=mailto:[email protected].

3. Quel est l'enregistrement DMARC correct pour Google Workspace ?

Commencez par v=DMARC1 ; p=none ; rua=mailto:[email protected] pour la surveillance, puis passez àquarantine enfin à p=reject une fois que vos expéditeurs légitimes auront été validés.

4. Dois-je disposer des SPF DKIM avant de configurer DMARC ?

Oui. DMARC s'appuie sur les résultats des vérifications SPF DKIM ; il faut donc qu'au moins l'une d'entre elles soit mise en place et correctement configurée pour que DMARC puisse être validé. Il est recommandé de configurer les deux avant de mettre en œuvre DMARC.

5. Que signifie « p=none » dans un enregistrement DMARC ?

La valeur « p=none » correspond au mode de surveillance. Les récepteurs signalent les e-mails qui échouent, mais ne prennent aucune mesure à leur encontre. C'est un point de départ sûr, mais ce mode n'offre aucune protection tant que vous n'avez pas basculé vers quarantine le rejet.

6. Combien de temps faut-il pour qu'un enregistrement DMARC soit opérationnel ?

L'enregistrement peut se propager en quelques minutes seulement, même si les modifications DNS peuvent prendre jusqu'à 48 heures. Les rapports agrégés commencent généralement à arriver au bout d'un ou deux jours.

7. Pourquoi mes e-mails Google Workspace ne sont-ils toujours pas conformes à la norme DMARC ?

En général, cela se produit parce qu'un expéditeur légitime (souvent un service tiers) n'est pas autorisé dans votre SPF ou ne signe pas avec un DKIM aligné. Vous pouvez consulter vos rapports agrégés pour identifier la source à l'origine du problème et corriger son alignement.

8. Le protocole DMARC est-il obligatoire pour respecter les consignes de Google relatives aux expéditeurs de messages en masse ?

Oui. Conformément aux exigences de Google relatives aux expéditeurs en masse, les domaines envoyant 5 000 messages ou plus par jour vers Gmail doivent disposer d’un enregistrement DMARC valide, sous peine de voir leurs e-mails rejetés. Vous pouvez consulter nos guide de conformité à Google et Yahoo pour plus de détails.

À propos de
Derniers messages

Ahona Rudra

Expert en sécurité des domaines et des e-mails chez PowerDMARC

Ahona est la responsable du marketing chez PowerDMARC, avec plus de 5 ans d'expérience dans l'écriture sur des sujets de cybersécurité, spécialisée dans la sécurité des domaines et des courriels. Ahona est titulaire d'un diplôme de troisième cycle en journalisme et communication, solidifiant sa carrière dans le secteur de la sécurité depuis 2019.

Derniers messages de Ahona Rudra (voir tous)