Dernière mise à jour : juillet 2026

En bref : après ce guide, tu génères une paire de clés DKIM dans la console d’administration Google et publies la partie publique sous forme d’enregistrement TXT chez ton hébergeur de domaine.

Prérequis

  • Un compte Google Workspace avec Gmail activé et ton propre domaine
  • L’accès à la console d’administration Google
  • L’accès à la gestion DNS de ton domaine (chez l’hébergeur du domaine)

Qu’est-ce que DKIM ?

DKIM (DomainKeys Identified Mail) protège ton domaine contre l’usurpation en signant les e-mails sortants. Le destinataire récupère la clé publique dans ton entrée TXT DNS et l’utilise pour vérifier la signature. Google génère pour cela une paire de clés : tu saisis la clé publique dans le DNS, Google conserve la clé privée sur ses serveurs pour la signature.

Pour situer les choses : là où SPF autorise le serveur, DKIM sécurise le message. Google exige de toute façon SPF, DKIM et DMARC des gros expéditeurs (plus de 5 000 e-mails/jour).

Le point de départ chez Google Workspace

Contrairement aux fournisseurs à CNAME géré (IONOS, Netcup), chez Google tu génères la clé toi-même dans la console d’administration et saisis la valeur TXT finale chez l’hébergeur du domaine. Le sélecteur de préfixe par défaut est google — le choix recommandé pour Google Workspace. L’entrée DNS s’appelle donc google._domainkey.ton-domaine.

Un piège de délai d’abord : après avoir activé Gmail, tu dois attendre 24 à 72 heures avant même de pouvoir générer la clé DKIM. Trop tôt, et la console signale une erreur.

Guide étape par étape

1. Générer la clé dans la console d’administration

Dans la console d’administration : Applications → Google Workspace → Gmail → Authentifier les e-mails. Saisis le domaine, la longueur de clé et le sélecteur de préfixe, puis clique sur Générer.

Longueur de clé : choisis 2048 bits si ton fournisseur de domaine le prend en charge — les clés plus longues sont plus sûres que les plus courtes. Ce n’est que si ton hébergeur de domaine n’autorise pas les clés de 2048 bits que tu utilises 1024 bits.

Sélecteur : laisse google, sauf si le domaine utilise déjà ce préfixe pour une autre clé — attribue alors ton propre préfixe.

2. Copier la valeur TXT

Après la génération, la page « Authentifier les e-mails » affiche la valeur de l’entrée TXT. Copie-la intégralement — c’est la longue chaîne v=DKIM1; k=rsa; p=....

3. Créer l’enregistrement TXT chez l’hébergeur du domaine

Chez ton fournisseur DNS, crée un enregistrement TXT :

  • Nom d’hôte : google._domainkey (ou ton sélecteur)
  • Valeur : la chaîne v=DKIM1; ... copiée

L’endroit exact est montré dans nos guides d’hébergeurs — par ex. IONOS, Strato, Hetzner DNS. Avec des clés de 2048 bits, fais attention aux éventuelles limites de caractères du champ de saisie de ton hébergeur (par ex. All-Inkl : 512 caractères).

4. Démarrer DKIM dans la console d’administration

De retour dans la console, clique sur Démarrer l’authentification (ou « Commencer l’authentification »). Remarque : pendant jusqu’à 48 heures, la page peut encore afficher « Vous devez mettre à jour vos enregistrements DNS » même si tout est correct — tu peux ignorer ce message si tu as saisi la clé correctement.

5. Attendre que la modification soit en ligne

La propagation DNS prend du temps — jusqu’à 48 heures avant que l’entrée soit visible partout.

Vérifier le résultat

Vérifie ta configuration avec le scanner MXAudit gratuit — il te montre DKIM, SPF et DMARC d’un coup d’œil.

Erreurs fréquentes

Génération trop précoce. Dans les 24–72 premières heures après l’activation de Gmail, aucune clé ne peut être générée — attends au lieu de lutter contre l’erreur.

Message « mettre à jour le DNS » surinterprété. Pendant jusqu’à 48 heures après l’enregistrement, la console peut afficher ce message malgré des entrées correctes. N’enquête que si le problème persiste après ce délai.

Clé de 2048 bits tronquée. Certains hébergeurs limitent la longueur du champ TXT. Si la longue clé est coupée, la vérification échoue — en cas de doute, colle la valeur exactement et intégralement.

Sélecteur qui ne correspond pas. L’entrée DNS doit s’appeler exactement <selecteur>._domainkey, avec le préfixe choisi dans la console.

Pour aller plus loin