DKIM pour Gmail : Un guide de configuration complet pour 2026

Vous avez probablement déjà vu cela se produire. Une demande de client, un suivi de devis ou une campagne sur laquelle vous avez passé du temps finit dans les spams, et le seul indice est que l’expéditeur semble correct alors que Gmail traite toujours le message comme suspect. C’est exactement là que DKIM pour Gmail prend toute son importance, car il fournit à Gmail un signal cryptographique prouvant que votre e-mail provient réellement de votre domaine et n’a pas été altéré en cours de route.

Gmail ne considère plus l’authentification comme une simple option. Les données de Google montrent que 76,9 % des e-mails reçus par Gmail sont signés avec DKIM, et Google exige que les expéditeurs en masse utilisent SPF, DKIM et DMARC (conseils d’authentification Gmail de Google). Si vous envoyez des newsletters, des e-mails de vente, des mises à jour de support ou des campagnes de publipostage, DKIM fait partie de la configuration de base, et non d’une optimisation ultérieure. Pour une introduction plus large sur la pile d’authentification, consultez les bases de l’authentification des e-mails.

Pourquoi vos messages Gmail ont besoin de l’authentification DKIM

Lorsqu’un client dit qu’il n’a jamais vu votre devis, votre suivi ou votre e-mail de campagne, le problème commence souvent par la confiance. Gmail doit décider si le message semble provenir réellement de votre domaine, et cette décision affecte son arrivée dans la boîte de réception, l’onglet promotions ou les spams.

DKIM, pour DomainKeys Identified Mail, fournit à Gmail cette preuve. Il signe les e-mails sortants avec une clé spécifique au domaine, et Gmail vérifie cette signature à l’arrivée du message. Si la signature correspond, le message a plus de chances d’être traité comme un e-mail professionnel légitime et est moins susceptible d’être contesté lors du filtrage.

Le courrier signé aide également à protéger votre domaine contre l’usurpation d’identité. Sans DKIM, quelqu’un peut envoyer un message qui semble provenir de votre entreprise, et les fournisseurs de messagerie ont moins de signaux pour distinguer votre courrier d’une copie frauduleuse. C’est un risque direct pour les petites entreprises qui comptent sur Gmail pour les réponses aux clients, les factures et les campagnes de publipostage.

Un domaine signé vous donne également un signal de réputation plus propre. Gmail considère l’authentification comme faisant partie de l’image de confiance globale. Un message correctement signé soutient donc votre réputation d’expéditeur au lieu de forcer Gmail à deviner si le courrier est sûr. Pour une vue d’ensemble sur la façon dont les éléments s’articulent, consultez cet aperçu de l’authentification.

Beaucoup de petites entreprises essaient d’améliorer la délivrabilité en modifiant les lignes d’objet, en espaçant les envois ou en réécrivant le corps du texte. Ces ajustements peuvent aider à l’engagement, mais ils ne remplacent pas l’authentification. Si le message lui-même n’est pas signé correctement, Gmail a toujours une raison de le traiter avec prudence.

Générez votre clé DKIM dans Google Workspace

Commencez dans la console d’administration Google Workspace, puis accédez à la zone d’authentification Gmail pour le domaine que vous souhaitez signer. Le flux de configuration de Google est conçu autour d’une idée simple : générer un nouvel enregistrement, le publier dans le DNS, puis revenir à la console d’administration et cliquer sur Démarrer l’authentification (séquence de configuration DKIM de Google Workspace).

Trouvez l’écran d’authentification

Le chemin se trouve généralement sous Applications, puis Google Workspace, puis Gmail, et enfin Authentifier les e-mails. C’est là que Google crée le matériel DKIM lié à votre domaine. Si vous gérez plusieurs domaines, veillez à choisir le domaine responsable de l’envoi des e-mails, plutôt que celui qui possède simplement votre site Web.

Le préfixe du sélecteur fait partie du nom de l’enregistrement que Google vous donne. Considérez-le comme une étiquette qui aide Gmail à savoir quelle clé DKIM rechercher plus tard. La documentation de Google montre également que les clés 2048 bits sont l’option privilégiée lorsque votre environnement les prend en charge, ce qui reflète une transition vers une authentification cryptographique plus forte plutôt que le strict minimum.

Note opérationnelle : générez d’abord la clé dans Google, puis copiez le nom d’hôte exact et la valeur TXT qu’il vous donne. Deviner le nom de l’enregistrement est l’un des moyens les plus rapides de casser la configuration.

Copiez soigneusement les détails de l’enregistrement

Google affichera un nom d’hôte DNS et une valeur d’enregistrement TXT. Ces deux éléments comptent plus que le flux de l’écran lui-même. Le nom d’hôte est ce que le DNS utilise pour publier la clé, et la valeur TXT est la moitié publique de l’enregistrement de signature.

Si vous utilisez un outil de messagerie ou un flux de travail de prospection connecté à Gmail, c’est également le moment où vous devez vous assurer que vous configurez le bon domaine d’envoi. Pour les entreprises utilisant un domaine dans Gmail et un autre sur une plateforme d’envoi, le mauvais choix de domaine est une source fréquente de confusion. Si vous avez également besoin du côté SPF, ce guide SPF pour Gmail se marie bien avec la configuration DKIM.

Gardez le texte de l’enregistrement exactement tel que Google le fournit. Même une petite faute de frappe dans l’étiquette de l’hôte ou la valeur collée peut empêcher le domaine de s’authentifier plus tard, et vous ne le saurez pas simplement en regardant l’écran de rédaction de Gmail.

Publiez l’enregistrement DKIM dans le DNS de votre domaine

Votre fournisseur DNS est l’endroit où la clé DKIM devient active pour le monde extérieur. Google peut générer l’enregistrement, mais Gmail ne fera pas confiance à la signature tant que cette clé publique n’existera pas dans la zone DNS du domaine à partir duquel vous envoyez.

Ouvrez la zone de gestion DNS de votre domaine et ajoutez un enregistrement TXT avec le nom d’hôte exact et la valeur TXT fournis par Google. Cet enregistrement est ce qui permet à Gmail de vérifier le courrier sortant plus tard. Si votre fournisseur utilise une interface simplifiée, recherchez les enregistrements DNS, les enregistrements de domaine ou les paramètres DNS avancés.

La précision compte plus que la vitesse ici. Copiez le texte exactement comme indiqué, car ce n’est pas l’endroit pour raccourcir, reformater ou nettoyer la valeur. Un caractère manquant ou un espace supplémentaire peut briser l’authentification même si l’enregistrement semble correct au premier coup d’œil.

Forme de l’exemple, ne pas copier aveuglément :
Nom d’hôte, le sélecteur DKIM généré par Google.
Type, TXT.
Valeur, la chaîne DKIM complète fournie par Google.

Pour les outils de publipostage et les flux de travail de prospection connectés à Gmail, le choix du domaine doit correspondre à la boîte aux lettres qui envoie les messages. Si votre plateforme d’envoi utilise un domaine différent de celui de Google Workspace, un enregistrement sur la mauvaise zone ne fera rien pour la délivrabilité. Si vous avez également besoin que le SPF s’aligne, cette ressource de configuration SPF pour Gmail est un compagnon utile pendant que vous terminez les enregistrements d’authentification.

Une fois l’enregistrement publié, laissez le temps au DNS de se mettre à jour avant de tester. Certains fournisseurs affichent le changement rapidement, tandis que d’autres prennent plus de temps pour apparaître partout sur Internet. Les conseils sur le délai de propagation DNS expliquent pourquoi les administrateurs attendent souvent avant d’essayer d’activer la signature dans la console d’administration Google, car le côté DNS est généralement la partie la plus lente de la configuration (conseils sur le délai de propagation DNS).

Si vous gérez déjà le SPF, assurez-vous que l’ensemble des enregistrements est cohérent sur tout le domaine. DKIM, SPF et le domaine d’envoi doivent pointer dans la même direction, surtout si vous envoyez depuis Gmail et une plateforme de prospection séparée. Un enregistrement publié sur le mauvais domaine n’aidera pas Gmail à faire confiance au courrier qui quitte votre système.

Une fois l’enregistrement en place, retournez dans la console d’administration Google et préparez-vous à activer la signature. Si l’entrée DNS est mal formée, Google ne pourra pas vérifier la clé, et le problème ressemblera à un problème Gmail même s’il a commencé dans le DNS.

Vérifiez et testez votre configuration DKIM

Une fois l’enregistrement DNS en ligne, retournez dans la console d’administration Google et cliquez sur Démarrer l’authentification. Ce commutateur ne crée pas DKIM par lui-même, il indique à Google de commencer à signer les e-mails après avoir pu voir la clé publique dans le DNS. La configuration n’est considérée comme terminée que lorsque Google affiche le domaine comme entièrement authentifié dans la console d’administration.

La vérification la plus propre reste un message réel envoyé à une boîte aux lettres externe. Les conseils de Google indiquent d’inspecter les en-têtes et de rechercher une ligne Authentication-Results qui affiche explicitement dkim=pass header.i=@votredomaine.com (conseils de vérification DKIM de Google Workspace). Cela vous indique que la signature a survécu au transit et correspond au domaine qu’elle était censée représenter.

À quoi ressemble un résultat réussi

Un test réussi affiche généralement le résultat DKIM dans les en-têtes bruts, et non dans la vue normale du message. Vous pouvez également voir des champs associés qui confirment l’identité de signature, mais la ligne clé est celle qui indique que DKIM a réussi pour votre domaine. Si cette ligne est manquante, traitez le message comme non vérifié jusqu’à ce que vous sachiez pourquoi.

Un vérificateur tiers peut aider, mais il doit confirmer ce que l’en-tête vous dit déjà. Utilisez-le comme une vérification rapide, pas comme la seule source de vérité. La preuve la plus solide reste un message externe réel avec des en-têtes valides reconnus par Gmail.

Si l’en-tête indique dkim=pass, la signature fonctionne. Si ce n’est pas le cas, le problème est généralement lié au placement de l’enregistrement, à la propagation ou à une inadéquation entre le sélecteur et l’entrée DNS en direct.

Beaucoup d’administrateurs s’arrêtent trop tôt et se fient uniquement au statut de la console d’administration. C’est utile, mais cela ne remplace pas la lecture de l’en-tête du message côté réception. La boîte aux lettres est l’endroit où Gmail prend sa décision, c’est donc là que vous voulez confirmer le résultat.

Dépannage des erreurs DKIM courantes

La plupart des problèmes DKIM entrent dans un petit ensemble de catégories prévisibles. Chacune laisse une trace différente, vous pouvez donc généralement cerner le problème sans deviner, même si vous envoyez depuis un outil de publipostage et que vous vérifiez pourquoi une campagne atterrit différemment de la suivante.

Lorsque Google indique que l’authentification n’est pas vérifiée

Si Google affiche toujours le domaine comme non vérifié, commencez par la propagation. Les mises à jour DNS n’apparaissent pas toujours partout en même temps, donc un nouvel enregistrement DKIM peut sembler correct dans votre panneau de contrôle alors que Gmail voit toujours l’ancien état. Certains guides de configuration conseillent d’attendre avant de cliquer sur Démarrer l’authentification dans la console d’administration Google, ce qui est souvent la décision la plus sûre si le changement vient d’être publié.

Si le statut ne change toujours pas après cette attente, inspectez l’enregistrement TXT dans votre tableau de bord DNS ligne par ligne. Un caractère manquant, un mauvais nom d’hôte ou un enregistrement ajouté sous la mauvaise étiquette peut bloquer la vérification même lorsque l’interface semble correcte.

Lorsque la vérification de l’en-tête échoue

Un en-tête échoué signifie généralement que le message a été envoyé, mais que la signature ne correspondait pas à ce que Gmail attendait. Cela arrive souvent lorsque le sélecteur dans l’e-mail ne correspond pas au sélecteur que vous avez publié, ou lorsque plusieurs enregistrements DKIM existent et que le système d’envoi choisit le mauvais.

Pour les expéditeurs utilisant des outils de publipostage ou de prospection, cela apparaît souvent comme un message qui a été signé quelque part dans le chemin mais qui ne tient toujours pas la route dans la boîte de réception du destinataire. Si vous rencontrez également des problèmes de placement, passez en revue les moyens pratiques d’éviter les problèmes de spam Gmail. DKIM aide à l’authentification, mais il ne résout pas tous les problèmes de filtrage par lui-même.

Lorsque l’enregistrement DNS semble correct mais échoue toujours

Parfois, l’enregistrement est là et pourtant faux. La valeur TXT doit correspondre exactement au texte généré par Google, y compris la balise de version DKIM et le matériel de clé. Si votre fournisseur DNS enveloppe la valeur d’une manière qui modifie la chaîne, saisissez-la à nouveau pour que l’enregistrement complet reste intact.

Si le fournisseur ne gère pas le format de clé que vous avez choisi, une configuration DNS différente peut être plus facile à utiliser. En pratique, les erreurs de copier-coller causent plus d’échecs que les limites du fournisseur, alors commencez par vérifier l’enregistrement par rapport à ce que Google a généré.

Ordre de dépannage : vérifiez que l’enregistrement existe, confirmez que le sélecteur correspond, attendez la propagation, puis testez à nouveau l’en-tête.

Cette séquence vous évite de changer trop de variables à la fois. Si vous modifiez l’enregistrement, le sélecteur et l’outil d’envoi en même temps, vous ne saurez pas quel changement a résolu le problème.

Si votre équipe souhaite également éviter que les e-mails sortants ne finissent dans les spams, ces moyens pratiques d’éviter les problèmes de spam Gmail vous donnent une vérification utile à effectuer une fois DKIM en place.

Conseils avancés pour le publipostage et la maintenance

Une réussite DKIM ne signifie pas automatiquement que chaque message se comportera de la même manière. Les conseils de Google pointent vers l’alignement DMARC, où le domaine de signature DKIM, la valeur d=, correspond au domaine From visible. Si ceux-ci ne s’alignent pas, un message peut toujours sembler authentifié dans un sens tout en échouant à la vérification d’alignement qui compte pour la livraison et la confiance (conseils DKIM de Google Workspace).

Cela compte beaucoup pour les flux de travail de publipostage, les envois CRM et les outils de support. Une campagne peut être signée correctement par le service d’envoi mais sembler dépareillée du point de vue du destinataire si l’expéditeur visible et le domaine authentifié divergent. Pour les équipes évaluant des outils de prospection plus larges, des ressources pour le marketing numérique des petites entreprises peuvent aider à encadrer l’authentification comme faisant partie de la pile complète, et non comme une solution autonome.

Si vous utilisez un produit comme Mail Merge for Gmail, la question clé est de savoir si les messages sortent du domaine que vous avez déjà authentifié et si l’adresse From visible correspond à ce domaine. C’est la ligne pratique entre un message techniquement signé et un message configuré pour un alignement plus propre entre Gmail et les autres boîtes de réception.

Gardez la maintenance simple

Traitez DKIM comme un actif continu, pas comme une tâche ponctuelle. Vérifiez que le sélecteur correspond toujours à l’enregistrement en direct après tout changement DNS, migration de domaine ou changement de plateforme. Si vous faites pivoter les clés, mettez à jour l’entrée DNS en premier, puis confirmez la nouvelle signature avant de retirer l’ancienne.

Gardez également un œil sur les autres couches d’authentification. SPF et DMARC ne remplacent pas DKIM, mais ils rendent la configuration globale beaucoup plus résiliente. Dans un environnement de petite entreprise, cette combinaison est généralement plus facile à maintenir en bonne santé que d’essayer de diagnostiquer les problèmes de boîte de réception plus tard.

Si vous gérez plusieurs expéditeurs, faites un court inventaire de chaque système qui envoie des e-mails au nom de votre entreprise. Les outils de newsletter, les services d’assistance, les plateformes de facturation et les envois manuels Gmail peuvent tous se comporter différemment. Les personnes qui évitent les pires problèmes de délivrabilité sont celles qui savent exactement quel système signe quel message.

---

Si vous configurez cela pour des mises à jour clients, de la prospection ou des campagnes de publipostage, terminez le travail en vérifiant à la fois l’en-tête Gmail et le domaine From visible, puis gardez SPF et DMARC synchronisés avec la même identité d’envoi. Si vous souhaitez un flux de travail d’envoi basé sur Gmail qui reste proche de la boîte de réception pendant que vous gérez la personnalisation depuis Sheets, jetez un œil à Mail Merge for Gmail.