Configurer DKIM sur GoDaddy : enregistrements CNAME ou TXT pas à pas

Configurer DKIM dans le DNS GoDaddy pour Microsoft 365 ou Google Workspace : quels enregistrements ajouter (CNAME ou TXT), où les coller et comment tester.

Questions fréquentes

GoDaddy génère-t-il une clé DKIM pour moi ?

Non. Le DNS de GoDaddy ne fait que stocker l'enregistrement. La clé vient de celui qui envoie vos e-mails : Microsoft 365, Google Workspace ou un autre service de messagerie ou d'emailing. Vous copiez le nom d'hôte et la valeur qu'il vous fournit dans la page DNS de GoDaddy.

Dois-je saisir le domaine complet dans le champ Nom ?

En général, non. Les pages d'aide de GoDaddy décrivent le champ Nom (Name) comme l'hôte ou le préfixe, sans votre nom de domaine : vous saisissez donc quelque chose comme selector1._domainkey ou google._domainkey. Certains formulaires et anciennes interfaces appellent ce champ Hôte (Host). Enregistrez, puis interrogez l'enregistrement publiquement pour vérifier qu'il se résout bien sous votre domaine et non en double (votredomaine.com.votredomaine.com).

Combien de temps faut-il pour que DKIM fonctionne sur GoDaddy ?

Selon GoDaddy, les modifications DNS prennent généralement effet en moins d'une heure, mais la propagation mondiale peut aller jusqu'à 48 heures. L'aide de Google indique que DKIM peut mettre jusqu'à 48 heures à fonctionner après l'ajout de la clé. Microsoft ne vous laisse activer la signature que lorsqu'il voit bien les deux enregistrements CNAME.

Ma clé Google de 2048 bits ne tient pas dans la valeur TXT. Que faire ?

La documentation de Google précise qu'une clé de 2048 bits peut ne pas tenir dans une seule chaîne de 255 caractères chez certains hébergeurs DNS. Vous pouvez soit découper la valeur en plusieurs chaînes entre guillemets si votre hébergeur l'autorise, soit générer une clé de 1024 bits à la place. La page d'aide TXT de GoDaddy indique un maximum de 1024 caractères par enregistrement : collez donc la valeur entière exactement comme Google l'affiche, puis testez le résultat.

Pourquoi Microsoft 365 indique-t-il que mes CNAME DKIM sont introuvables alors qu'ils sont dans GoDaddy ?

Les causes habituelles sont une faute de frappe dans l'hôte ou la cible, un champ Nom auquel le domaine a été ajouté deux fois, ou une propagation DNS pas encore terminée. Copiez les deux valeurs CNAME directement depuis la page DKIM de votre tenant plutôt que de les construire à la main : le format des cibles de Microsoft peut varier d'un tenant à l'autre.

Ai-je besoin de DKIM si j'ai déjà SPF ?

Ils ont des rôles différents. SPF vérifie quels serveurs peuvent envoyer des e-mails pour votre domaine ; DKIM signe le message lui-même afin de détecter toute altération. DMARC s'appuie sur les deux. Notre guide [SPF, DKIM et DMARC](/guides/spf-dkim-dmarc) explique comment ils s'articulent.

Réponse courte : dans GoDaddy, ouvrez la page DNS de votre domaine, choisissez Ajouter un nouvel enregistrement (Add New Record) et collez l'enregistrement DKIM fourni par votre fournisseur de messagerie. Microsoft 365 utilise deux enregistrements CNAME (selector1._domainkey et selector2._domainkey). Google Workspace utilise un seul enregistrement TXT (par défaut sur google._domainkey). Dans le champ Nom, saisissez uniquement le préfixe, attendez la mise à jour du DNS, puis activez la signature dans la console d'administration de votre messagerie et testez avec un message envoyé à une adresse externe.

DKIM ajoute une signature cryptographique à chaque message que vous envoyez. Le serveur destinataire va chercher votre clé publique dans le DNS et vérifie que la signature correspond. GoDaddy n'est que l'endroit où l'enregistrement est hébergé : les valeurs exactes viennent toujours de votre fournisseur de messagerie. Cette page couvre la partie GoDaddy et les deux fournisseurs les plus courants.

Avant de commencer : quel type d'enregistrement vous faut-il ?

Le type d'enregistrement est imposé par le fournisseur, pas par GoDaddy. Vous ne choisissez pas entre CNAME et TXT : vous ajoutez celui que votre fournisseur vous donne.

Fournisseur	Type d'enregistrement	Hôte (Nom)	Origine de la valeur	Étape d'activation
Microsoft 365	Deux enregistrements CNAME	selector1._domainkey et selector2._domainkey	La page DKIM de votre tenant dans le portail Microsoft Defender	Activer la signature une fois les deux enregistrements publiés
Google Workspace	Un enregistrement TXT	google._domainkey (préfixe de sélecteur par défaut)	Console d'administration, Gmail, Authentifier les e-mails, Générer un nouvel enregistrement	Cliquer sur Démarrer l'authentification une fois l'enregistrement résolu
Autres expéditeurs (outils de newsletter ou de CRM)	CNAME ou TXT, selon l'outil	Ce que l'outil affiche	L'écran d'authentification de domaine de l'outil	En général, un bouton Vérifier

Pourquoi CNAME ou TXT ? Un enregistrement TXT contient la clé publique elle-même. Un CNAME pointe vers une clé hébergée par le fournisseur, ce qui permet à Microsoft de renouveler les clés sans que vous ayez à retoucher le DNS. C'est pour cela que Microsoft publie deux sélecteurs : pour pouvoir basculer de l'un à l'autre.

Comment ajouter un enregistrement DKIM dans GoDaddy

Les libellés des menus de GoDaddy varient légèrement selon la présentation de votre compte (les anciennes pages d'aide parlent de Edit DNS, Host et Add Record) : suivez l'option la plus proche.

Connectez-vous à votre compte GoDaddy, ouvrez les paramètres du domaine, puis la page DNS.
Sélectionnez Ajouter un nouvel enregistrement (Add New Record).
Définissez le Type sur TXT ou CNAME, selon les instructions de votre fournisseur.
Dans Nom (parfois appelé Hôte), saisissez uniquement le préfixe, par exemple selector1._domainkey ou google._domainkey. L'aide de GoDaddy décrit ce champ comme le nom sans votre domaine.
Dans Valeur (ou Pointe vers pour un CNAME), collez exactement ce que votre fournisseur affiche. N'ajoutez ni guillemets ni espaces à la fin, sauf si votre fournisseur le demande.
Laissez le TTL à sa valeur par défaut (l'aide de GoDaddy indique 1 heure par défaut) et cliquez sur Enregistrer.
Répétez l'opération pour le second CNAME si vous êtes sur Microsoft 365.

La page de GoDaddy sur le sujet est Ajouter un enregistrement TXT.

Microsoft 365 sur GoDaddy : deux enregistrements CNAME

La documentation de Microsoft indique que les domaines personnalisés ne sont pas signés DKIM tant que vous ne l'avez pas configuré, et que vous publiez deux enregistrements CNAME par domaine.

Dans le portail Microsoft Defender, ouvrez les paramètres DKIM sous Authentification des e-mails et sélectionnez votre domaine personnalisé.
Copiez les deux entrées CNAME affichées par Microsoft. Les cibles suivent un modèle construit à partir de votre domaine (points remplacés par des tirets) et de votre domaine initial onmicrosoft.com, mais le format peut varier selon le tenant : copiez, ne reconstruisez pas.
Ajoutez les deux comme enregistrements CNAME dans GoDaddy (étapes ci-dessus), avec selector1._domainkey et selector2._domainkey comme noms.
Attendez la mise à jour du DNS, revenez sur la page DKIM et activez la signature pour le domaine. Si Microsoft indique que les enregistrements sont introuvables, consultez la liste de dépannage ci-dessous.

Vous pouvez aussi activer la signature avec PowerShell (Set-DkimSigningConfig), que Microsoft documente sur sa page de configuration DKIM.

Google Workspace sur GoDaddy : un seul enregistrement TXT

Dans la console d'administration Google, allez dans Gmail, puis Authentifier les e-mails, choisissez votre domaine et sélectionnez Générer un nouvel enregistrement.
Choisissez une clé de 2048 bits si votre hébergeur DNS la prend en charge. Gardez le préfixe de sélecteur par défaut (google), sauf raison particulière de le changer.
Copiez le nom d'hôte et la valeur TXT (elle commence par v=DKIM1). Ne cliquez pas encore sur Démarrer l'authentification.
Ajoutez l'enregistrement TXT dans GoDaddy avec le Nom google._domainkey et la valeur complète.
Patientez, puis retournez dans Authentifier les e-mails et cliquez sur Démarrer l'authentification. Google indique que cela peut prendre jusqu'à 48 heures après l'ajout de la clé.

Deux remarques tirées de l'aide Google sur la configuration DKIM : une configuration Gmail toute récente peut ne pas proposer de clé pendant 24 à 72 heures, et une clé de 2048 bits peut ne pas tenir dans une seule chaîne de 255 caractères chez certains hébergeurs DNS. Dans ce cas, découpez la valeur en chaînes entre guillemets si l'hébergeur le permet, ou utilisez une clé de 1024 bits.

Comment vérifier que DKIM fonctionne

Regarder le DNS vous indique seulement que l'enregistrement existe. Seul un vrai message prouve que la signature fonctionne.

Interrogez l'enregistrement. Utilisez un outil de recherche DKIM, ou une requête DNS sur selector1._domainkey.votredomaine.com (CNAME) ou google._domainkey.votredomaine.com (TXT).
Consultez la console d'administration. Google affiche « Authentification des e-mails avec DKIM » une fois l'activation effective ; Microsoft indique que la signature est activée pour le domaine.
Envoyez vers une boîte externe. Microsoft précise que les messages entre utilisateurs d'un même domaine peuvent échapper à la signature : envoyez donc à un autre fournisseur, par exemple une adresse Gmail personnelle.
Lisez les en-têtes. Ouvrez la source du message d'origine et repérez la ligne DKIM-Signature avec d=votredomaine.com, ainsi qu'une ligne Authentication-Results indiquant dkim=pass.

Liste de dépannage

[ ] Le champ Nom ne contient que le préfixe, pas le domaine complet (pas de votredomaine.com.votredomaine.com).
[ ] La valeur a été collée en entier, sans saut de ligne ni caractère manquant.
[ ] Les deux CNAME Microsoft sont présents, pas seulement un.
[ ] Il n'y a qu'un seul enregistrement TXT DKIM par sélecteur.
[ ] Vous avez attendu au moins une heure, et jusqu'à 48 heures avant de régénérer des clés.
[ ] Si Microsoft échoue toujours, supprimez les enregistrements et recopiez les cibles depuis la page DKIM de votre tenant.
[ ] Si une passerelle sortante ajoute des pieds de page après la signature, testez sans elle : modifier le corps du message après la signature fait échouer DKIM.

Que faire après DKIM

DKIM n'est qu'un tiers du dispositif. Publiez aussi un enregistrement SPF et une politique DMARC, afin que les serveurs destinataires sachent quoi faire en cas d'échec d'une vérification. Notre guide SPF, DKIM et DMARC présente les trois en détail.

Si votre domaine est chez GoDaddy mais que vous hésitez sur l'outil pour créer le site lui-même, consultez les alternatives à GoDaddy ou le détail des tarifs du créateur de sites GoDaddy. Les enregistrements DNS ci-dessus restent chez GoDaddy, quel que soit le créateur de site que vous choisissez. Le forfait gratuit de We.Inc permet de publier jusqu'à trois sites à partir de modèles prêts à l'emploi ; le créateur IA qui génère un site à partir d'une description démarre avec le forfait Starter à $20 par mois. Vous pouvez vous inscrire ici.

Commencer gratuitement · Sans carte bancaire

Umair Ali Sadaqat

Fondateur de We.Inc

Umair est le fondateur de We.Inc. Il écrit sur la création de sites web avec l’IA, les agences et la gestion d’un studio web.

Prêt à créer quelque chose de grand ?

Rejoignez les 15,000+ entreprises qui utilisent We.Inc pour lancer, développer et automatiser, le tout depuis une seule plateforme.