Comment vérifier un domaine dans Amazon SES et configurer DKIM, SPF et DMARC dans Route 53

Amazon SES est le service d'e-mail sortant d'AWS : bon marché et fiable pour les e-mails qu'envoie une application (confirmations, notifications, factures). Mais que l'e-mail parte n'est pas le plus difficile ; le difficile est qu'il arrive dans la boîte de réception et non dans le spam. Pour cela, Gmail, Outlook et compagnie exigent trois choses qui se prouvent dans le DNS de votre domaine : DKIM (une signature cryptographique), SPF (quels serveurs peuvent envoyer en votre nom) et DMARC (que faire de ce qui ne respecte pas les deux premiers).

Si votre domaine est dans Route 53, dans le même compte AWS, SES peut créer une bonne partie des enregistrements pour vous. Il vaut quand même la peine de savoir ce qu'il met et pourquoi.

Pas à pas

1. Choisissez la région de SES

   SES fonctionne par régions et les identités vérifiées ne sont pas partagées entre elles. Choisissez-en une proche de vos utilisateurs ou celle où vous avez déjà le reste (par exemple Europe - Irlande, eu-west-1) et gardez-la pour toujours : l'application devra envoyer vers cette région.

2. Créez l'identité de domaine

   Dans la console SES, Identités, Créer une identité, type Domaine. Saisissez le domaine sans « www » (midominio.com). Dans la section DKIM, laissez Easy DKIM avec la longueur de clé que SES propose. Si le domaine est dans Route 53 dans ce compte, vous verrez la case pour publier les enregistrements DNS automatiquement : cochez-la. Créez l'identité.

   SES génère trois enregistrements CNAME du type xxxx._domainkey.midominio.com. Avec la case cochée, ils sont déjà dans Route 53 ; sinon, copiez-les et créez-les à la main dans la zone hébergée. La vérification prend de quelques minutes à quelques heures ; l'identité passera toute seule à « Vérifiée ».

3. Configurez un domaine MAIL FROM personnalisé (pour le SPF)

   Par défaut, les e-mails de SES partent avec un expéditeur technique en amazonses.com, et c'est cela que regarde le SPF. Pour que la vérification se fasse contre votre domaine et que DMARC puisse « aligner », configurez un domaine MAIL FROM personnalisé : dans l'identité, onglet Domaine MAIL FROM personnalisé, Modifier, et indiquez un sous-domaine que vous n'utilisez pour rien d'autre, par exemple correo.midominio.com. Choisissez que SES utilise la valeur par défaut d'amazonses.com si le MX échoue, pour ne pas cesser d'envoyer à cause d'une erreur DNS.

   SES vous demande deux enregistrements sur ce sous-domaine (là encore, avec Route 53 il peut les mettre tout seul) :

   Nom	Type	Valeur
   correo.midominio.com	MX	10 feedback-smtp.eu-west-1.amazonses.com (remplacez la région par la vôtre)
   correo.midominio.com	TXT	"v=spf1 include:amazonses.com ~all"

4. Ajoutez aussi le SPF au domaine principal

   Si vous envoyez des e-mails depuis d'autres endroits (votre serveur de messagerie, un fournisseur de newsletters), votre domaine racine a déjà un enregistrement TXT v=spf1. Ajoutez include:amazonses.com à ce même enregistrement ; ne créez jamais un second TXT commençant par v=spf1, car deux enregistrements SPF s'invalident mutuellement. Si vous n'en avez aucun, créez-le dans Route 53 :

   Nombre: midominio.com    Tipo: TXT
   Valor:  "v=spf1 include:amazonses.com ~all"

   Si vous utilisez aussi Google Workspace ou Microsoft 365, la valeur contiendra également leur include respectif, séparés par des espaces.

5. Publiez la politique DMARC

   DMARC est un enregistrement TXT sur le sous-domaine _dmarc. Commencez en mode observation (p=none) pour que personne ne rejette vos e-mails pendant que vous ajustez, et demandez des rapports à une adresse que vous lisez :

   Nombre: _dmarc.midominio.com    Tipo: TXT
   Valor:  "v=DMARC1; p=none; rua=mailto:dmarc@midominio.com"

   Dans Route 53 : Créer un enregistrement, nom _dmarc, type TXT, valeur entre guillemets. Après quelques semaines sans surprise dans les rapports, passez à p=quarantine puis à p=reject. Gmail et Yahoo exigent DMARC de ceux qui envoient beaucoup d'e-mails, alors ne sautez pas cette étape.

6. Vérifiez et envoyez un test

   Dans l'identité SES, tout doit apparaître en vert : identité vérifiée, DKIM correct et MAIL FROM configuré. Envoyez un e-mail de test à un compte Gmail et ouvrez « Afficher l'original » : il doit indiquer SPF: PASS, DKIM: PASS et DMARC: PASS. Si vous êtes encore dans le sandbox de SES, vous ne pourrez envoyer qu'à des adresses vérifiées ; le guide pour sortir du sandbox se trouve dans cette même section.

Ce qui peut mal tourner