Authentification de domaine SendGrid : les CNAME ne se valident pas (la solution)

Ce que ça veut dire

Dans Twilio SendGrid, Domain Authentication (Settings > Sender Authentication) vous demande de publier des enregistrements DNS, puis de cliquer sur Verify. Si SendGrid ne les trouve pas avec la bonne valeur, il les affiche comme non vérifiés et votre domaine reste non authentifié.

Avec « Use automated security » activé (réglage par défaut), SendGrid vous donne trois enregistrements CNAME et suggère un enregistrement DMARC. Les noms et les cibles contiennent des numéros propres à votre compte :

em1234.yourdomain.com            CNAME  u1234567.wl123.sendgrid.net
s1._domainkey.yourdomain.com     CNAME  s1.domainkey.u1234567.wl123.sendgrid.net
s2._domainkey.yourdomain.com     CNAME  s2.domainkey.u1234567.wl123.sendgrid.net
_dmarc.yourdomain.com            TXT    "v=DMARC1; p=none;"

L'enregistrement em sert au Return-Path (domaine de rebond, ce qui permet l'alignement du SPF). Les deux enregistrements _domainkey pointent vers des clés DKIM que SendGrid fait tourner pour vous. Copiez toujours vos propres valeurs depuis la console ; celles ci-dessus ne sont que des exemples.

Pourquoi cela arrive

• Nom de domaine en double. Votre interface DNS ajoute yourdomain.com automatiquement, donc em1234.yourdomain.com devient em1234.yourdomain.com.yourdomain.com. C'est la cause la plus fréquente ; voir enregistrement DNS ajouté au mauvais nom.
• Proxy Cloudflare. Un CNAME proxifié (nuage orange) répond avec des adresses IP de Cloudflare au lieu de la cible du CNAME. Voir les enregistrements proxifiés Cloudflare cassent l'email.
• Un enregistrement en conflit. Un CNAME ne peut pas coexister avec un autre enregistrement du même nom. Un ancien TXT ou MX sur em1234 ou s1._domainkey le bloque. Voir conflit entre CNAME et enregistrements MX ou TXT.
• Faute de frappe dans la cible, ou problème de point final dans les interfaces qui attendent un nom pleinement qualifié.
• Enregistrements ajoutés dans la mauvaise zone DNS. Le DNS de votre domaine est servi par un autre fournisseur (vérifiez les enregistrements NS), donc les enregistrements ajoutés chez votre registrar ne sont jamais vus.
• Pas encore visibles. Certains hébergeurs DNS mettent du temps à publier les nouveaux enregistrements ; SendGrid évoque jusqu'à 48 heures chez certains fournisseurs.
• Mauvais domaine authentifié : vous avez authentifié yourdomain.com mais ajouté les enregistrements pour un sous-domaine, ou l'inverse.

Comment vérifier

1. Interrogez chaque enregistrement depuis un terminal. Une réponse correcte renvoie la cible SendGrid :

   dig +short CNAME em1234.yourdomain.com
   dig +short CNAME s1._domainkey.yourdomain.com
   dig +short CNAME s2._domainkey.yourdomain.com
   dig +short NS yourdomain.com

   Une réponse vide signifie que l'enregistrement n'existe pas (ou pas encore). Des adresses IP signalent un proxy.
2. Cherchez le nom doublé : dig +short CNAME em1234.yourdomain.com.yourdomain.com. Si cette requête répond, le nom a été mal saisi.
3. Utilisez le scanner de domaine de Delivmail pour voir les enregistrements SPF, DMARC et DKIM que les autres voient pour votre domaine.

Comment corriger

1. Dans votre interface DNS, ouvrez chaque enregistrement et saisissez dans le champ du nom uniquement la partie avant votre domaine : em1234, s1._domainkey, s2._domainkey.
2. Collez la cible exactement comme SendGrid l'affiche. Choisissez le type CNAME, pas TXT.
3. Chez Cloudflare, passez chaque enregistrement en « DNS only ».
4. Supprimez les anciens enregistrements portant les mêmes noms, y compris d'anciens TXT DKIM pour s1/s2 issus d'une configuration précédente.
5. Assurez-vous de modifier la zone du fournisseur DNS indiqué dans vos enregistrements NS.
6. Si votre hébergeur DNS refuse les tirets bas (underscores) dans les noms de CNAME, désactivez l'automated security dans SendGrid (il vous donne alors des enregistrements MX et TXT à la place), ou déplacez votre DNS chez un hébergeur qui gère les enregistrements standard.
7. De retour dans SendGrid, cliquez sur Verify. Si un enregistrement échoue encore, SendGrid indique lequel.

SPF et enregistrements existants

Avec l'automated security, vous n'avez pas besoin d'ajouter SendGrid à votre SPF racine : le SPF est vérifié sur le sous-domaine em, qui suit le SPF de SendGrid grâce au CNAME. Gardez votre SPF racine actuel pour vos autres services. Pour comprendre le DKIM par CNAME, voir DKIM avec des enregistrements CNAME (sélecteurs délégués).

Vérifier que c'est corrigé

Quand dig renvoie les bonnes cibles, cliquez de nouveau sur Verify dans SendGrid ; tous les enregistrements doivent passer au vert. Envoyez ensuite un test via SendGrid à l'adresse de la page d'accueil de Delivmail : le DKIM doit passer avec d=yourdomain.com, le Return-Path doit être sur em1234.yourdomain.com, et le DMARC doit passer. Si les enregistrements sont corrects mais que SendGrid ne valide toujours pas après le délai de propagation, contactez le support SendGrid avec le résultat de vos commandes dig.