J’ai ajouté l’enregistrement DKIM il y a deux jours et la console d’administration me demande toujours de mettre à jour mes enregistrements DNS. Qu’est-ce que j’ai cassé ?
Deux causes distinctes produisent ce message. La documentation de Google indique qu’il peut persister jusqu’à 48 heures après l’ajout d’un enregistrement correct, donc la console est souvent simplement en retard. L’autre cause est le dernier clic oublié : générer la clé et publier l’enregistrement TXT ne suffit pas en soi, et le statut ne passe à « Authentification des e-mails avec DKIM » qu’après votre retour sur la page Authentifier les e-mails, un clic sur Démarrer l’authentification, et la vérification de l’enregistrement par Google.
La solution
Contrôlez l’enregistrement publié directement avec l’outil Dig de la Google Admin Toolbox sur google._domainkey.yourdomain.com, au lieu de vous fier à la console. Envoyez ensuite un message vers une adresse extérieure et lisez l’en-tête Authentication-Results : un DKIM=pass avec un d= réglé sur votre propre domaine signifie que le travail est fait, quoi qu’affiche la bannière. Si l’enregistrement est correct et que Démarrer l’authentification a bien été cliqué, laissez passer les 48 heures.
Mon bureau d’enregistrement refuse la valeur DKIM. Il me répète que l’enregistrement est trop long.
Une clé publique de 2048 bits dépasse le maximum de 255 caractères d’une chaîne DNS unique, donc la clé doit être stockée sous forme de plusieurs chaînes entre guillemets dans un seul enregistrement TXT. Certains panneaux de configuration la découpent pour vous, d’autres refusent la saisie sans discuter, et d’autres encore l’acceptent puis la tronquent en silence, ce qui est le pire des cas : l’enregistrement existe, il a l’air correct dans le panneau, et il ne se valide jamais.
La solution
Découpez vous-même la clé en plusieurs chaînes de texte, chacune entre ses propres guillemets à l’intérieur du même enregistrement TXT, ce qui est exactement l’instruction de la page de dépannage DKIM de Google. Vérifiez ensuite avec Dig que ce qui revient correspond caractère pour caractère à la valeur affichée dans la console d’administration. Si votre fournisseur en est vraiment incapable, régénérez la clé en 1024 bits, l’option que Google propose pour les hébergeurs qui ne prennent pas en charge les clés de 2048 bits.
Notre application est censée envoyer les factures depuis billing@ourdomain.com, mais tout arrive depuis le compte administrateur qui a servi à la configurer.
L’application s’authentifie auprès de smtp.gmail.com avec l’adresse d’un utilisateur et un mot de passe d’application. Google documente que, sur ce chemin, l’adresse From doit correspondre au compte authentifié, donc toute autre adresse From est remplacée. Le message est authentifié et remis, il ne vient simplement pas de l’adresse que vos clients attendent, et les réponses atterrissent dans la mauvaise boîte.
La solution
Faites passer l’application par le relais SMTP. Dans la console d’administration, allez dans Applications > Google Workspace > Gmail > Routage, configurez le service de relais SMTP, puis réglez Expéditeurs autorisés sur Uniquement les adresses de mes domaines pour que l’application puisse envoyer depuis billing@. Pointez l’application vers smtp-relay.gmail.com sur le port 587 en TLS, et authentifiez-la avec Exiger l’authentification SMTP ou avec l’option N’accepter que les messages provenant des adresses IP spécifiées. Notez que deux pages de Google énoncent différemment le plafond du relais, l’une comme 10 000 messages par utilisateur sur une période de 24 heures, l’autre comme 10 000 destinataires par utilisateur et par jour : dimensionnez vos lots sur la lecture la plus basse.
Gmail nous a coupés pendant une journée en disant que nous avions atteint une limite d’envoi. Nous avions à peine envoyé 600 e-mails.
La limite qui vous a arrêtés n’était probablement pas le nombre de messages. Un compte Workspace payant dispose de 2 000 messages par jour, mais seulement de 3 000 destinataires externes et de 2 000 destinataires externes uniques, et les messages envoyés en SMTP, POP ou IMAP sont limités à 100 destinataires chacun. Une série de 600 messages qui contient des listes de diffusion fait exploser les compteurs de destinataires bien avant le compteur de messages. Les limites se calculent sur une fenêtre glissante de 24 heures, pas sur une journée calendaire, donc rien ne se remet à zéro à minuit.
La solution
Comptez les destinataires, pas les envois, et identifiez le compteur que vous avez touché avant de changer quoi que ce soit. Si le volume est réel et récurrent, sortez-le de la boîte de messagerie : le relais SMTP autorise 10 000 messages par utilisateur sur 24 heures, et l’emailing véritable a sa place sur une plateforme faite pour ça. En version d’essai, attendez-vous à 500 messages et 500 destinataires uniques par jour tant que le domaine n’a pas dépensé $100 USD ou l’équivalent, et notez que Google indique que la hausse peut demander jusqu’à 75 jours après ce seuil pour s’appliquer.
DKIM est configuré dans Google Workspace, mais notre newsletter échoue toujours à DMARC.
La clé Workspace ne signe que les messages qui sortent des serveurs de Google. Une newsletter envoyée depuis une plateforme d’emailing ne touche jamais cette clé, donc il lui faut son propre enregistrement DKIM publié sur votre domaine, sur le sélecteur que cette plateforme vous donne. La page de dépannage DMARC de Google vous renvoie précisément pour ce cas à la documentation du tiers. Cela vaut aussi pour les outils d’assistance, les reçus e-commerce, les notifications de CRM et tout ce qui envoie sous votre domaine.
La solution
Inventoriez tous les systèmes qui envoient sous votre domaine, puis authentifiez-les un par un : publiez l’enregistrement DKIM de la plateforme sur son propre sélecteur, et fondez son mécanisme SPF dans votre enregistrement SPF unique. Servez-vous des rapports agrégés DMARC reçus à votre adresse rua pour retrouver les expéditeurs que vous avez oubliés, puisque c’est exactement à cela qu’ils servent. Envoyez ensuite un message de test par chaque source vers une adresse de test, pour lire le domaine d= système par système au lieu de le deviner.