DKIM validation fail

system · December 2, 2025, 3:30pm

Bonjour,

Je suis membre d'une équipe d'Unité de scouts en Belgique (domaine : 22sgp.be), et nous avons souscrit à un MX Plan afin que les différentes sections puissent communiquer avec les parents via emails.

Nous avons quelques parents qui se plaignent de ne pas recevoir les emails, en général ceux ayant des adresses email Microsoft et Yahoo.

Le 'Diagnostique DKIM' est vert.

Dans Zone DNS :

SPF v=spf1 include:mx.ovh.com ~all

DMARC v=DMARC1;p=none;rua=mailto:hidden@22sgp.be;sp=none;

Quand j'envoie un email à mail-tester.com, le score est de 10/10.

Mais en lisant les rapports DMARC, dkim est souvent en fail. Quelques fois chez Google, et souvent (si pas toujours ?) chez Microsoft et Yahoo.

Un exemple de Google:

<record>
 <row>
  <source_ip>188.165.43.119</source_ip>
  <count>1</count>
  <policy_evaluated>
    <disposition>none</disposition>
    <dkim>fail</dkim>
    <spf>pass</spf>
    </policy_evaluated>
 </row>
 <identifiers>
   <header_from>22sgp.be</header_from>
  </identifiers>
  <auth_results>
    <dkim>
      <domain>22sgp.be</domain>
      <result>fail</result>
      <selector>ovhmo4991786-selector1</selector>
     </dkim>
    <spf>
      <domain>22sgp.be</domain>
      <result>pass</result>
    </spf>
  </auth_results>
</record>

Quelqu'un aurait une piste ? Merci

fritz2cat · December 2, 2025, 4:58pm

Bonjour,

Le DKIM semble valide.

;; QUESTION SECTION:
;ovhmo4991786-selector1._domainkey.22sgp.be. IN TXT

;; ANSWER SECTION:
ovhmo4991786-selector1._domainkey.22sgp.be. 3600 IN CNAME ovhmo4991786-selector1._domainkey.343170.ge.dkim.mail.ovh.net.

... ...

Est-ce que vous envoyez vos mails via une mailing-list d'OVH ?

Si c'est le cas, l'ajout d'un pied de page dans chaque mail casse la signature DKIM... il faut passer par un gestionnaire de mailing list qui travaille professionnellement. Ca peut être gratuit si vous avez de petits volumes.

system · December 3, 2025, 11:00am

Merci pour votre réponse.

Non les chefs scouts n'utilisent pas de système de mailing list. Ils se connectent à leur boîte mails via leur smartphone/tablette, et font un copier-coller de la liste des adresses email dans le champs BCC/CCI :-)

Le volume est de 100 adresses mail maximum. Je vais peut-être creuser cette option là alors. Si vous avez des services de mailing-list à recommander, je suis preneur.

Merci encore

fritz2cat · December 3, 2025, 11:23am

Dans ce cas je ne vois pas ce qui peut invalider la signature DKIM.

Brevo est gratuit pour 300 mails/jour, maximum.

system · December 4, 2025, 8:56am

Bonjour Maxence,

Merci pour les détails. Voici une analyse de votre situation et quelques pistes pour corriger les problèmes de DKIM fail chez certains destinataires :

1. Comprendre la situation

Vos emails passent le SPF et le diagnostic DKIM dans OVH est vert.
Les tests sur mail-tester.com donnent 10/10, ce qui est excellent.
Malgré cela, certains serveurs (Microsoft, Yahoo, et parfois Google) signalent des échecs DKIM dans leurs rapports DMARC.

Cela indique que le problème n’est pas systémique mais dépend du chemin de livraison et du serveur destinataire.

2. Causes fréquentes des échecs DKIM

Modification du message en transit
- Certains fournisseurs (Microsoft, Yahoo) peuvent modifier légèrement le message (ajout d’en-têtes, réécriture de liens, encodage) avant de vérifier DKIM. Même un petit changement dans le corps ou les en-têtes peut provoquer un échec DKIM.
- Exemple : redirection, alias, ou filtre de sécurité interne.
Sélecteur DKIM incorrect ou expiré
- Votre rapport montre : ovhmo4991786-selector1.
- Vérifiez que le record TXT correspondant au sélecteur est bien présent dans votre zone DNS et n’a pas été modifié.
Propagation DNS ou cache
- Si le record DKIM a été récemment ajouté ou modifié, certains serveurs destinataires peuvent encore avoir une ancienne version en cache.
Envoi via serveur tiers
- Si certains emails sont envoyés via un autre service (webmail OVH, smartphone, client de messagerie configuré différemment), DKIM peut échouer si le serveur d’envoi ne signe pas correctement.

3. Vérifications et actions recommandées

Vérifier votre record DKIM dans la zone DNS
- Le nom du TXT record doit être exactement :
  
  ovhmo4991786-selector1._domainkey.22sgp.be
- Le contenu doit correspondre au DKIM fourni par OVH.
Vérifier que tous les envois passent par MX Plan OVH
- Tout envoi via SMTP non OVH peut échouer DKIM.
Tester des emails directement avec DKIM
- Utilisez des outils comme https://www.mail-tester.com ou https://www.dmarcanalyzer.com/dkim-check/ pour envoyer des emails vers plusieurs fournisseurs.
- Comparez les en-têtes pour identifier si des modifications sont faites par le serveur destinataire.
Considérer l’alignement DMARC
- Votre DMARC est p=none, ce qui est bien pour tester.
- Vérifiez que le header_from correspond bien au domaine DKIM (22sgp.be) et que le SPF et DKIM sont alignés.
Contact OVH si le problème persiste
- Si tout est correct côté DNS et envoi via MX Plan, et que DKIM échoue chez Microsoft/Yahoo, il peut s’agir de problèmes connus liés à la réécriture de mail par certains serveurs. OVH peut fournir un sélecteur DKIM alternatif ou vérifier votre configuration.

4. Points clés à retenir

SPF passe → votre serveur est autorisé à envoyer. ✅
DKIM fail sporadique → souvent dû à modification du message ou cache DNS côté destinataire.
DMARC p=none → aucun rejet automatique, mais suivi des échecs DKIM/alignement.

Résumé pratique :

Confirmez le record DKIM dans DNS.
Assurez-vous que tout email est envoyé via MX Plan OVH.
Testez auprès de plusieurs fournisseurs.
Patientez si propagation DNS récente.
Contactez OVH si les échecs persistent malgré tout.

Si vous voulez, je peux aussi rédiger une version simplifiée et prête à poster sur le forum OVH pour expliquer pourquoi DKIM échoue chez certains destinataires et comment le résoudre. more Often unlimited

ClubS1 · February 19, 2026, 10:30am

Bonjour,

J'ai un pb analogue à Maxence : je gère le site du club de plongée de Limoges : MXplan et des mailings lists. Certains se plaignent de ne pas recevoir certains mails. Au départ cela semblait provenir de mails envoyés à la liste depuis un autre compte (donc un autre serveur SMTP de départ) ce qui peut expliquer.

Mais même avec un envoi depuis un mail chez OVH, il semble qu'il y ait des pbs DKIM, notamment chez Google alors que les tests de validation chez mail tester sont OK (10/10): https://www.mail-tester.com/test-ya62ob3g9

Ci-dessous un extrait du rapport Google

<record>
<row>
<source_ip>178.32.104.40</source_ip>
<count>1</count>
<policy_evaluated>
<disposition>none</disposition>
<dkim>fail</dkim>
<spf>pass</spf>
</policy_evaluated>

</row>
<identifiers>
<header_from>clubsublimoges.fr</header_from>
</identifiers>
<auth_results>
<dkim>
<domain>clubsublimoges.fr</domain>
<result>fail</result>
<selector>ovhmo2376705-selector1</selector>
</dkim>
<spf>
<domain>clubsublimoges.fr</domain>
<result>pass</result>
</spf>
</auth_results>
</record>

Je ne sais plus trop quoi faire ....

Marcel

system · February 19, 2026, 10:50am

Bonjour,

Là il faut avoir les entête de ce mail une fois arrivé chez Google pour savoir ce qui c'est passé.

Cordialement, janus57

fritz2cat · February 19, 2026, 10:50am

Bonjour cher plongeur,

Le "DKIM fail" dans ce rapport DMARC m'intrigue. Je ne sais pas si c'est le rapport d'un mail envoyé en direct ou via votre ML.

En effet l'enregistrement avec la clé publique DKIM se trouve bien dans le zone DNS:
ovhmo2376705-selector1._domainkey.clubsublimoges.fr. 3600 IN CNAME ovhmo2376705-selector1._domainkey.1040645.ml.dkim.mail.ovh.net.

et correspond bien à une clé DKIM.

La mailing list OVH ajoute [nom_de_la_liste] dans le sujet, mais chez OVH la signature DKIM ne couvre pas le champ "Subject".
Si ce mail provient d'un autre fournisseur, Orange, Free, Infomaniak, ... c'est sûr que le champ "Subject" est inclus dans la signature, et va donc causer une erreur.

La mailing liste OVH modifie aussi le corps en bas du message: "Désinscription... blabla", et ça casse une signature DKIM.

Votre mail-tester correspond à un envoi direct depuis le webmail OVH, et il est parfait.

fritz2cat · February 19, 2026, 10:52am

et accessoirement dans notre club, on a décidé d'utiliser groups.io plutôt que les ML OVH.

ClubS1 · February 19, 2026, 4:09pm

Merci Fritz2cat pour la réponse rapide.

Probablement que le pb vient de la gestion des mailings list par OVH ..... car si on envoie en direct à ceux qui ne reçoivent pas via la mailing list (en général outlook ou yahoo), ça passe...

J'ai regardé groups.io, mais c'est payant après un test de 30 jours.

Je vois qu'il y a aussi phplist mais il faut que je regarde si je peux le rajouter sur notre hébergement chez OVH

Bonne journée

fritz2cat · February 19, 2026, 5:42pm

ah oui, groups.io était gratuit quand on s'y est inscrit, vous avez plus que 100 membres pour que ça soit payant ?

Avec les solutions comme les hébergements OVH, il n'y a aucun moyen de gérer une liste de diffusion avec un traitement automatique des retours en erreur, par exemple pour désinscrire une adresse qui renvoie 3x consécutivement en erreur.

Voyez bien vos besoins, PHPList ce n'est pas une mailing list où tout le monde peut envoyer un mail à destination de tous les autres (avec ou sans modération)

C'est plutôt pour envoyer les mails officiels du comité ou de l'enseignement à tous vos membres.

Frédéric N4

MarcelG · February 20, 2026, 5:24pm

Bonsoir,

Effectivement phpLists ne convient pas car on ne peut envoyer que du site.

Je vais regarder de plus près groups.io et le tarif mais nous avons 120 à 150 membres selon les années .....

OVH supprime bien une adresse après plusieurs mails non délivrés, mais sans prévenir le propriétaire de la liste ..... pas top .

Marcel

system · February 22, 2026, 12:37pm

Hello,

Mon problème a été causé par le transfert de propriétaire pour les services associés à 22sgp.be : nom de domaine/hébergement/mails MX Plan.

Le changement de propriétaire pour le MX Plan n'a pas bien fonctionné: d'après le manager ovhcloud, l'ancienne config DKIM avait bien été supprimée. Donc j'ai reconfiguré DKIM pour le nouveau propriétaire (moi). Mais en réalité on s'est retrouvés avec 2 records DKIM dans la nature (le record de l'ancien propriétaire, et le mien).. Dans l'onglet 'Gestion des contacts', il y'avait effectivement toujours une référence vers l'ancien propriétaire, j'aurais dû tiquer.. bref..

J'ai isolé le problème en analysant les rapports DMARC, et aussi grâce à ces 2 outils qui m'ont signalé la présence de 2 records DKIM : https://dmarcian.com/dkim-inspector/ et https://dmarcadvisor.com/fr/dkim-check/ .

Maintenant parlons du support OVH: j'ai créé mon ticket le 09/12/2025. Nous sommes le 22/02/2026, et le problème n'est toujours pas résolu (priorité faible) malgré mes nombreuses relances.. Aucune nouvelle depuis le 09/02/2026. On se sent vraiment respecté..

ServiceI32 · March 10, 2026, 4:01pm

Hello,

Je gère un club de volley. Nous utilisons BREVO avec un compte gratuit (max 300 mails par jour).

JC