DMARC chez Metanet, Hosttech et autres hébergeurs suisses

A vérifier d'abord : où se trouve votre DNS ?

Saisissez votre domaine dans le test de domaine gratuit : Contrôle de domaine gratuit. Vous voyez si SPF, DKIM et DMARC existent déjà et quels serveurs de noms sont responsables.

C'est essentiel. Une entrée ne fonctionne que là où pointent les serveurs de noms. Si le domaine est chez l'hébergeur A mais le DNS chez l'hébergeur B, vous saisissez tout chez B. Les serveurs de noms sont les serveurs qui fournissent les réponses DNS de votre domaine.

En bref : SPF liste les serveurs autorisés à envoyer pour votre domaine. DKIM appose une signature numérique sur chaque e-mail. DMARC indique aux destinataires quoi faire des e-mails qui échouent aux deux contrôles. Les noms de menus ci-dessous sont ceux des aides officielles ; dans l'interface française, les libellés peuvent différer légèrement.

Metanet

Éditeur DNS : dans le portail client my.metanet.ch, choisissez le domaine, puis au niveau du domaine «DNS-Verwaltung» (gestion DNS). Choisissez le type, cliquez sur «Hinzufügen» (ajouter) et enregistrez avec «Jetzt speichern» (enregistrer maintenant). Si la zone est gérée par Plesk, l'éditeur se trouve dans Plesk sous «DNS-Einstellungen» (paramètres DNS).

SPF : pour les domaines hébergés sur son réseau, Metanet indique cette entrée :

• v=spf1 include:_spf.sui-inter.net +mx +a -all

Si d'autres services envoient pour vous, leurs include vont dans la même entrée.

DKIM : pour Metanet Business Mail, c'est le support qui active DKIM. Vous le contactez. Si vous gérez vous-même la zone DNS, le support vous envoie l'entrée TXT nécessaire. Pour l'hébergement web avec Plesk, Plesk propose la signature DKIM. Vous l'activez dans les paramètres e-mail du domaine.

Hosttech

Éditeur DNS : dans l'espace client myhosttech.eu, allez à «Domains», puis «Domaincenter». Pour le domaine, cliquez sur «Details», puis sur «DNS Records».

SPF : Hosttech donne comme exemple v=spf1 a mx -all, sans include propre. Important : choisissez le type TXT. Hosttech précise expressément de ne pas prendre le type «SPF» proposé dans la liste.

DKIM : chez Hosttech, DKIM n'existe qu'avec Plesk, pas avec Confixx. Voici la marche à suivre :

1. Dans Plesk, ouvrez à gauche «E-Mail», puis en haut «E-Mail-Einstellungen» (paramètres e-mail).
2. Choisissez le domaine.
3. En bas, activez l'option «DKIM-Spamschutzsystem … verwenden» (utiliser le système anti-spam DKIM) et cliquez sur «Übernehmen» (appliquer).
4. A côté, ouvrez «Konfiguration des externen DNS» (configuration du DNS externe).
5. Dans l'éditeur DNS, créez deux entrées TXT : default._domainkey.example.com avec la valeur de Plesk (elle commence par v=DKIM1) et _domainkey.example.com avec la valeur o=-.

Selon le guide, l'éditeur de Hosttech n'exige pas de point à la fin du nom.

Green (green.ch)

Éditeur DNS : dans le portail client my.green.ch, ouvrez «Shared Hosting» et «Alle Domänen» (tous les domaines). A côté du domaine, cliquez sur l'icône bannière dans la colonne «DNS». Pour vos propres entrées, il faut la gestion DNS manuelle («Manuelle DNS-Verwaltung»).

Attention : si vous passez de la gestion manuelle à la gestion automatique («Automatische DNS-Verwaltung»), Green supprime selon son aide toutes les entrées existantes de façon irréversible et remet les valeurs standard.

SPF : l'entrée standard de Green pour l'hébergement web et e-mail est :

• v=spf1 include:servicehoster.ch a mx ~all

DKIM : pour l'hébergement e-mail, Green crée l'entrée DKIM automatiquement dès que les serveurs de noms du domaine pointent vers Green. Avec un DNS externe, le domaine doit avoir utilisé au moins une fois les serveurs de noms de Green. Ensuite, vous copiez l'entrée dans la zone externe. Hosted Exchange suit un autre chemin : vous générez les entrées DKIM dans le portail EdgePilot, sous la gestion DKIM («DKIM-Verwaltung»), et les saisissez vous-même dans le DNS.

DMARC : Green recommande de commencer par _dmarc avec v=DMARC1; p=none et propose un générateur pour cela.

Swizzonic (anciennement Switchplus)

Éditeur DNS : dans l'espace client, choisissez le domaine et la rubrique domaine et DNS. Ouvrez la configuration DNS en mode avancé et ajoutez l'entrée. Confirmez avec «Apply». La zone ne peut être gérée chez Swizzonic que si les serveurs de noms de Swizzonic sont enregistrés.

DKIM : choisissez le domaine, cliquez sur «EMAIL», en haut à droite sur «ACTIONS», puis sur «DKIM». Activez DKIM dans la fenêtre.

SPF : Swizzonic ne publie pas d'include dans son aide. Dans le même menu, Swizzonic indique si votre SPF est correct, absent ou non conforme. Si vous envoyez aussi par d'autres services, vous devez compléter leur SPF.

DMARC : via «EMAIL», «ACTIONS» et «DMARC», vous créez l'entrée directement.

Novatrend

Éditeur DNS : Novatrend travaille avec cPanel. Dans l'espace client, cliquez à gauche sur «Webhosting» et, pour l'hébergement, sur «cPanel». Dans la section «Domänen» (domaines), ouvrez «Zoneneditor» (éditeur de zone), puis «Verwalten» (gérer) pour le domaine. Selon Novatrend, un @ comme nom se remplace par le domaine suivi d'un point, donc example.com..

SPF et DKIM : dans la section «E-Mail» de cPanel, ouvrez «E-Mail-Zustellbarkeit» (délivrabilité des e-mails) et cliquez sur «Reparieren» (réparer) pour le domaine. cPanel pose alors SPF et DKIM, et le domaine affiche «Gültig» (valide). Cela peut prendre quelques heures. Si les serveurs de noms sont externes, Novatrend indique cette entrée SPF :

• v=spf1 mx a:mail.example.com include:_spf.tophost.ch -all

Dans ce cas, la valeur DKIM se trouve également sous «E-Mail-Zustellbarkeit».

L'entrée DMARC : la même chez tous les hébergeurs

Créez une nouvelle entrée TXT :

• Nom : _dmarc
• Valeur : v=DMARC1; p=none; rua=mailto:dmarc@example.com; fo=1

p=none signifie : observer seulement, rien n'est bloqué. Les destinataires envoient chaque jour des rapports au format XML à l'adresse rua. Avec DomainRadar, vous obtenez votre propre adresse de rapport, qui analyse ces fichiers.

L'ordre est toujours le même :

1. Vérifier SPF : exactement une entrée avec toutes les voies d'envoi.
2. Activer DKIM, chez l'hébergeur et chez chaque service tiers.
3. Poser DMARC avec p=none.
4. Observer les rapports pendant deux à quatre semaines.
5. Durcir vers p=quarantine, puis plus tard vers p=reject. Le bon moment est expliqué ici : DMARC de p=none à quarantine et reject : quand est-ce sûr ?.

Erreurs typiques

• Entrée dans le mauvais DNS : les serveurs de noms pointent ailleurs. L'entrée existe, mais n'a aucun effet.
• Deux entrées SPF : l'hébergeur en pose une, vous en ajoutez une deuxième. SPF devient alors invalide. Comment les fusionner : Deux entrées SPF pour un domaine : pourquoi cela invalide tout.
• Type «SPF» au lieu de TXT : certains éditeurs proposent encore l'ancien type. Prenez TXT.
• Domaine en double dans le nom : l'éditeur ajoute lui-même le domaine. On obtient alors _dmarc.example.com.example.com.
• Messagerie chez Microsoft 365 ou Google, SPF uniquement avec l'hébergeur : l'include du fournisseur de messagerie manque.
• Passage irréfléchi à la gestion DNS automatique : chez Green, vos propres entrées sont alors perdues.

Comment vérifier que cela fonctionne

Attendez la durée de validité (TTL) de l'entrée, en général de quelques minutes à quelques heures. Vérifiez à nouveau le domaine dans le test de domaine. Envoyez aussi un e-mail vers un compte Gmail et ouvrez «Afficher l'original». Vous devriez y lire «PASS» pour SPF, DKIM et DMARC.

Ce que DomainRadar prend en charge

DomainRadar contrôle en continu SPF, DKIM et DMARC de votre domaine et analyse les rapports DMARC pour vous. Vous voyez quels services envoient en votre nom et quand vous pouvez durcir sans risque. Si une entrée change chez l'hébergeur, vous recevez une alerte.