Dernière mise à jour : juillet 2026

En bref : après ce guide, OVHcloud signe tes e-mails sortants avec DKIM. Les serveurs destinataires peuvent alors confirmer que tes messages n’ont pas été modifiés en transit — et qu’ils viennent vraiment de ton domaine.

Prérequis

  • Une offre e-mail OVHcloud (MX Plan, Email Pro, Exchange ou Zimbra)
  • Accès à l’espace client OVHcloud
  • Pour la voie automatique : la zone DNS du domaine chez OVHcloud

Qu’est-ce que DKIM ?

DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque e-mail sortant. OVHcloud le résume bien : l’enregistrement DKIM permet de signer les e-mails pour prévenir l’usurpation d’identité. La plateforme d’envoi signe le message avec une clé privée ; la clé publique correspondante vit dans ta zone DNS, si bien que tout destinataire peut vérifier la signature. Si le message est modifié en transit, la signature ne correspond plus et le contrôle DKIM échoue.

Le lien entre rotations de clés et DNS, c’est le sélecteur. Il apparaît dans l’en-tête du message après s= — pour l’e-mail OVHcloud, un sélecteur ressemble à s=ovhex123456-selector1. Avec SPF et DMARC, DKIM forme le trio d’authentification que les grands destinataires attendent désormais.

Le point de départ chez OVHcloud

La bonne nouvelle : OVHcloud fait le gros du travail. La configuration DKIM automatique est disponible pour toutes ses offres e-mail — MX Plan, Exchange, Email Pro et Zimbra. Quand tu rattaches un domaine à une solution e-mail OVHcloud, la configuration DKIM automatique est proposée et réalisée par défaut si tu ne la désactives pas. Autrement dit : pour une boîte OVHcloud fraîche sur un domaine hébergé chez OVHcloud, DKIM est généralement déjà actif.

Deux situations demandent une étape manuelle : DKIM n’a pas été activé à l’ajout du domaine, ou le DNS du domaine vit hors d’OVHcloud.

Guide étape par étape

1. Vérifier si DKIM est actif

Le plus simple est de passer ton domaine dans le scanner MXAudit gratuit — il cherche une signature DKIM valide et la clé publique. Si tu connais déjà le sélecteur, tu peux aussi vérifier dans le terminal :

dig TXT selector._domainkey.example.com +short

2. Activer DKIM pour une boîte OVHcloud

Si DKIM n’a pas été activé automatiquement, active-le dans l’espace client. Pour MX Plan : ouvre Web Cloud, clique sur MX Plan, choisis le domaine et ouvre l’onglet Informations générales. Dans le bloc d’informations générales, DKIM s’affiche en rouge dans la colonne Diagnostic. Comme le dit OVHcloud : pour activer DKIM, il suffit de cliquer sur le badge DKIM rouge puis sur Valider. Exchange, Email Pro et Zimbra suivent le même schéma dans leurs sections respectives.

3. Domaine sur un DNS externe : les deux enregistrements CNAME

Si ton domaine n’est pas géré dans le même espace client OVHcloud — ou est enregistré entièrement ailleurs — la fenêtre d’activation change. OVHcloud précise : cette fenêtre te demande de saisir deux valeurs CNAME dans la zone DNS du nom de domaine, ce qui relie ce domaine aux sélecteurs DKIM de ton service e-mail. Tu copies ces deux cibles CNAME chez ton fournisseur DNS externe, tu attends la propagation, et seulement ensuite tu cliques sur Activer.

L’approche CNAME est délibérée : elle permet à OVHcloud de faire tourner les clés pour toi. Pendant un renouvellement, l’ancienne paire doit rester active jusqu’à ce que tous les e-mails envoyés avec l’ancienne clé aient cessé de passer le contrôle DKIM côté réception — tant que les CNAME pointent vers les sélecteurs d’OVHcloud, tu résous toujours la clé courante sans retoucher ta zone.

4. Attendre que la modification soit en ligne

Les modifications DNS prennent du temps : selon le TTL et le cache, quelques heures peuvent s’écouler avant que chaque serveur destinataire voie les nouvelles clés.

Vérifier le résultat

Vérifie ta configuration avec le scanner MXAudit gratuit — il montre DKIM, SPF et DMARC d’un coup d’œil. Ou envoie-toi un e-mail de test et inspecte l’en-tête : une ligne DKIM-Signature: valide avec un d= correspondant à ton domaine signifie que la signature fonctionne.

Erreurs fréquentes

Attendre DKIM sans offre e-mail OVHcloud. La signature automatique est liée à une boîte OVHcloud (MX Plan, Email Pro, Exchange, Zimbra). Si tu envoies via un ESP externe, ce fournisseur te donne son propre enregistrement DKIM à publier.

DNS externe, pas de CNAME. Si ton domaine utilise des serveurs de noms hors OVHcloud, l’activation automatique ne peut pas écrire dans ta zone. Comme le note OVHcloud, si ton domaine n’utilise pas les serveurs DNS d’OVHcloud, tu dois modifier les enregistrements DKIM dans l’interface du prestataire qui gère la configuration de ton domaine — c’est là que vont les deux CNAME.

Copier les clés en TXT statique au lieu de CNAME. Si tu répliques les sélecteurs d’OVHcloud en TXT rigides, tu restes bloqué sur une vieille clé au prochain renouvellement. La variante CNAME te garde automatiquement sur la clé courante.

DKIM seul. Une signature DKIM ne prouve que l’intégrité et l’origine — elle ne dit rien de la politique. Associe-la à SPF et à un enregistrement DMARC pour que les destinataires sachent quoi faire quand un contrôle échoue.

Pour aller plus loin