SPF et DKIM Mailgun : enregistrements DNS exacts

Sous-domaine ou domaine racine ?

Mailgun recommande d’isoler le trafic transactionnel ou marketing sur un domaine ou sous-domaine dédié comme mg.yourdomain.com. Un sous-domaine est surtout utile si le domaine racine reçoit déjà le courrier de l’entreprise via Microsoft 365 ou Google Workspace. Mailgun permet techniquement un domaine From visible différent du domaine d’envoi, mais sa FAQ d’envoi conseille de les faire correspondre pour la délivrabilité.

Le sous-domaine est préférable pour trois raisons pratiques :

1. Séparation du trafic. Le trafic de masse et transactionnel bâtit un historique propre au sous-domaine, même si les messageries peuvent relier les signaux de domaines liés.
2. Moins de conflits. Un domaine racine a souvent déjà des SPF et MX pour Microsoft 365 ou Google Workspace, ce que montre une requête MX. Un sous-domaine neuf permet de publier les enregistrements d’envoi Mailgun sans toucher au routage entrant de la racine.
3. Multiservice plus simple. Pour un MSP qui gère l’e-mail de clients, un sous-domaine mg. par domaine client garde les enregistrements de chaque plateforme isolés et auditables.

Comment ajouter le SPF Mailgun ?

1. Ouvrez la liste des domaines

Connectez-vous au panneau Mailgun, dépliez Sending dans le menu de gauche et cliquez sur Domains.

2. Ajoutez le domaine d’envoi

Cliquez sur Add New Domain, entrez le domaine d’envoi (p. ex. mg.yourdomain.com) et validez par Add Domain.

3. Publiez le SPF

Mailgun affiche les enregistrements DNS à publier. Chez votre hébergeur DNS, créez le SPF sur le domaine d’envoi :

Type:  TXT
Host:  mg.yourdomain.com
Value: v=spf1 include:mailgun.org ~all

Si vous configurez la racine et qu’elle a déjà un SPF, n’en créez pas un second. Un nom d’hôte ne peut en avoir qu’un. Insérez include:mailgun.org après v=spf1 et avant le mécanisme all final, en gardant son qualificatif (-, ~, ? ou +). L’exemple de Mailgun utilise ~all :

v=spf1 ip4:1.2.3.4 include:smtp.domain.tld include:mailgun.org ~all

Gardez l’enregistrement fusionné sous la limite SPF de 10 requêtes DNS, sinon les récepteurs renverront un permerror. Vérifiez qu’il se résout et respecte la limite avec le test SPF gratuit de Palisade.

4. Vérifiez le SPF public

Après la propagation DNS, interrogez l’hôte d’envoi, puis revenez à l’onglet DNS records de Mailgun et cliquez sur Check status. Le résultat doit montrer une seule politique SPF avec include:mailgun.org.

Comment ajouter le DKIM Mailgun ?

Vérifiez d’abord si Automatic Sender Security est actif pour le domaine Mailgun. En DKIM manuel, Mailgun génère la paire de clés, garde la clé privée et vous donne un TXT contenant la clé publique. Le sélecteur varie selon le domaine : copiez toujours le nom d’hôte et la valeur exacts du panneau :

Type:  TXT
Host:  mx._domainkey.mg.yourdomain.com
Value: k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4... (copy the full key from Mailgun)

Avec Automatic Sender Security, publiez les deux CNAME affichés par Mailgun au lieu de copier l’exemple TXT manuel. Les hôtes CNAME ressemblent à pdk1._domainkey.mg.yourdomain.com et pdk2._domainkey.mg.yourdomain.com ; leurs cibles sont des noms d’hôte Mailgun propres au compte. Avec ces deux CNAME, Mailgun fait tourner les clés publiques hébergées sans autre modification DNS.

Deux détails de la documentation DKIM de Mailgun comptent pour la vérification :

• Longueur de clé. Mailgun prend en charge les clés de 1024 et 2048 bits. 2048 est plus robuste, mais la valeur est bien plus longue, ce que certains panneaux DNS gèrent mal.
• Intervalle de rotation. Automatic Sender Security fait tourner les clés tous les 120 jours par défaut, et Mailgun permet de l’ajuster.

Comment vérifier votre domaine dans Mailgun ?

Une fois les enregistrements en ligne, Mailgun les contrôle régulièrement et vous écrit quand le domaine passe à Verified. La propagation peut prendre 24 à 48 heures, mais va souvent bien plus vite. Pour vérifier à la main :

1. Dans le panneau, dépliez Sending et cliquez sur Domain settings.
2. Ouvrez l’onglet DNS records.
3. Choisissez le bon domaine dans la liste Domain en haut à droite.
4. Cliquez sur Check status (le guide de Mailgun appelle ce contrôle le bouton Check DNS Records Now de la page DNS Settings).

Quel effet sur l’alignement DMARC ?

DMARC exige que SPF ou DKIM réussisse avec un domaine authentifié aligné sur le From visible. La RFC 9989 définit l’alignement relâché comme le partage du même domaine organisationnel, et l’alignement strict comme une correspondance exacte.

Voici le cas d’un sous-domaine Mailgun quand vous envoyez en tant que you@yourdomain.com via mg.yourdomain.com :

• SPF : DMARC évalue l’identité MAIL FROM authentifiée par SPF, souvent visible comme Return-Path. Si c’est mg.yourdomain.com et que le From visible est yourdomain.com, ils sont alignés en mode relâché, pas en mode strict.
• DKIM : DMARC évalue le domaine d= d’une signature DKIM valide. Une signature d=mg.yourdomain.com est alignée avec un From yourdomain.com en mode relâché, pas en mode strict. Si Mailgun signe avec d=yourdomain.com, elle peut s’aligner dans les deux modes.

Problèmes courants de SPF et DKIM avec Mailgun

Pourquoi Mailgun affiche-t-il encore Unverified ?

Un domaine Unverified indique en général un DNS encore en propagation, ou un hôte ou une valeur mal copiés. Vérifiez chaque hôte avec dig ou une requête externe, puis cliquez sur Check status. Les valeurs doivent être identiques à celles de Mailgun.

Pourquoi le SPF Mailgun manque-t-il ?

Un SPF Mailgun introuvable a souvent été publié au mauvais nom d’hôte. Il doit être sur le domaine d’envoi configuré : mg.yourdomain.com pour un sous-domaine Mailgun mg., ou la racine seulement si elle est elle-même le domaine d’envoi Mailgun. Certains panneaux DNS ajoutent le nom de zone d’office : saisir le nom complet peut créer par erreur mg.yourdomain.com.yourdomain.com.

Pourquoi Mailgun signale-t-il plusieurs SPF ?

Plusieurs SPF sur un même nom d’hôte ne cumulent pas leurs autorisations. La RFC 7208 impose un PermError si le DNS renvoie plus d’un SPF : fusionnez l’include de Mailgun avec les autres mécanismes autorisés dans une seule politique.

Pourquoi les CNAME DKIM de Mailgun sont-ils en conflit ?

Les CNAME DKIM de Mailgun ne peuvent partager leur nom exact pdk1._domainkey ou pdk2._domainkey avec d’autres données DNS. Supprimez l’enregistrement en conflit seulement s’il est obsolète, ou configurez Mailgun avec d’autres sélecteurs ; ne supprimez pas une clé active d’un autre expéditeur.

Pourquoi DMARC échoue-t-il sur le domaine sandbox ?

Le domaine sandbox partagé de Mailgun sert aux tests avec des destinataires autorisés, pas à authentifier votre propre domaine From. Passez le vrai trafic sur un domaine personnalisé vérifié, puis vérifiez si son identité SPF ou DKIM est alignée avec le From visible.

Pourquoi SPF passe-t-il mais pas l’alignement DKIM ?

Un message Mailgun peut réussir SPF avec un DKIM non aligné, car DMARC évalue séparément les deux domaines authentifiés. Vérifiez la valeur DKIM d=, le domaine MAIL FROM ou Return-Path et le domaine From visible ; notre guide sur les échecs d’alignement DKIM traite le volet DKIM.