Connecter Microsoft 365

Module 7: Connecter des services externes · Temps de lecture : 9 minutes

Objectif pédagogique : à l'issue de cette leçon, vous saurez placer les enregistrements DNS pour Microsoft 365 et vérifier qu'ils sont correctement configurés.

Notions clés : TXT de vérification (MS=ms...), MX vers Microsoft, include SPF, CNAME DKIM (selector1 et selector2), autodiscover, centre d'administration

Pourquoi Microsoft 365 a besoin d'enregistrements

Avec Microsoft 365, vos e-mails arrivent chez Microsoft. Votre site web peut tout à fait rester chez votre hébergeur actuel. Pour permettre cette séparation, Microsoft a besoin de plusieurs éléments dans votre DNS :

1. une preuve que le domaine vous appartient (vérification) ;
2. l'endroit où arrive le courrier (MX) ;
3. l'autorisation d'envoyer des e-mails au nom de votre domaine (SPF) ;
4. une signature sous vos e-mails (DKIM) ;
5. un enregistrement permettant à Outlook de trouver lui-même les paramètres (autodiscover).

Vous placez ces enregistrements chez l'entité qui gère le DNS de votre domaine. Vous ne savez pas qui c'est ? Regardez les serveurs de noms de votre domaine (leçon 2.1). Si vous modifiez au mauvais endroit, rien ne se passe.

Règle la plus importante de cette leçon : reprenez toujours exactement ce que le centre d'administration de Microsoft indique pour votre domaine. Les exemples ci-dessous montrent à quoi ressemblent les enregistrements. Les valeurs exactes varient selon le domaine et l'abonnement, et Microsoft modifie parfois le format.

Étape 1 : vérifier le domaine

Lorsque vous ajoutez un domaine dans le centre d'administration Microsoft 365, vous recevez un enregistrement TXT avec un code :

example.com.   3600   IN   TXT   "MS=ms12345678"

Placez cet enregistrement sur le domaine nu (@). Cliquez ensuite sur vérifier dans le centre d'administration. Si cela ne fonctionne pas immédiatement, attendez un quart d'heure et réessayez : il se peut qu'un résolveur ait encore l'ancienne réponse en cache (leçon 6.1). Cet enregistrement TXT peut coexister avec d'autres enregistrements TXT, y compris votre enregistrement SPF (leçon 4.2).

Étape 2 : le MX vers Microsoft

L'enregistrement MX pointe vers un serveur de messagerie associé à votre domaine. Pendant longtemps, il s'agissait du nom de domaine avec des tirets à la place des points, suivi de mail.protection.outlook.com :

example.com.   3600   IN   MX   0 example-com.mail.protection.outlook.com.

Les abonnements plus récents obtiennent parfois une adresse se terminant par mx.microsoft, par exemple quelque chose comme example-com.x-v1.mx.microsoft. Ce n'est pas une faute de frappe : .microsoft est un vrai domaine de premier niveau. Lequel des deux vous recevez est indiqué dans le centre d'administration. Reprenez-le exactement, avec le point final si votre panneau le demande (leçon 2.2).

Deux erreurs sont fréquentes ici :

• Laisser les anciens enregistrements MX en place. Supprimez les enregistrements MX vers votre ancien serveur de messagerie. S'ils restent, une partie de votre courrier continuera d'arriver à l'ancien endroit, même avec une priorité plus élevée (leçon 4.1).
• Livraison locale chez votre hébergeur. De nombreux panneaux d'hébergement livrent directement le courrier de votre propre site (formulaire de contact, boutique en ligne) dans la boîte aux lettres du même serveur, s'il pense que votre courrier y réside. Dans DirectAdmin, ce paramètre s'appelle « Utiliser ce serveur pour gérer mes e-mails ». Si vous orientez le MX vers Microsoft, désactivez cette livraison locale. Sinon, les formulaires n'arriveront jamais chez Microsoft. Dans d'autres panneaux, ce réglage s'appelle par exemple « Remote mail exchanger » ou « Désactiver le mail local ».

Étape 3 : compléter le SPF, ne pas le dupliquer

Microsoft demande que votre enregistrement SPF contienne :

include:spf.protection.outlook.com

Vous avez déjà un enregistrement SPF ? Ne créez surtout pas de deuxième enregistrement, mais ajoutez l'include à l'enregistrement existant. Deux enregistrements SPF rendent votre SPF invalide (leçon 4.3). Si votre site envoie des e-mails via le serveur de votre hébergeur, laissez-le également dans l'enregistrement :

example.com.   3600   IN   TXT   "v=spf1 a mx include:spf.hosting.example include:spf.protection.outlook.com ~all"

Attention à la limite de dix recherches DNS : chaque include compte, et les includes de Microsoft comptent elles-mêmes aussi des recherches.

Étape 4 : DKIM avec deux enregistrements CNAME

Microsoft signe vos e-mails avec une clé hébergée chez Microsoft. Vous ne créez que deux renvois, sous forme de CNAME :

selector1._domainkey.example.com.   3600   IN   CNAME   selector1-example-com._domainkey.example.x-v1.dkim.mail.microsoft.
selector2._domainkey.example.com.   3600   IN   CNAME   selector2-example-com._domainkey.example.x-v1.dkim.mail.microsoft.

Depuis mai 2025, les nouveaux domaines reçoivent ce format, se terminant par dkim.mail.microsoft. La lettre avant -v1 (ici x) varie selon l'abonnement. Les domaines plus anciens ont souvent encore le format se terminant par onmicrosoft.com, par exemple selector1-example-com._domainkey.example.onmicrosoft.com. Les deux fonctionnent. Là aussi : copiez les valeurs depuis le centre d'administration (dans les paramètres DKIM du portail Defender) et ne les inventez pas vous-même.

Pourquoi deux ? Microsoft change les clés de temps en temps (rotation des clés). Si seul selector1 figure dans votre DNS, DKIM fonctionnera jusqu'au premier changement, puis disparaîtra soudainement. Créez donc toujours les deux.

Une fois les enregistrements CNAME visibles, activez DKIM dans le centre d'administration. Une erreur fréquente consiste à créer un enregistrement TXT là où un CNAME est demandé ; Microsoft signale alors que le CNAME est manquant.

Attention au nom : dans votre panneau, vous ne saisissez généralement que selector1._domainkey. Si vous tapez le nom complet et que votre panneau y ajoute lui-même votre domaine, vous obtiendrez selector1._domainkey.example.com.example.com (leçon 8.4).

Étape 5 : autodiscover

Lors de la configuration d'un compte, Outlook recherche autodiscover.<votre domaine>. Faites pointer ce nom vers Microsoft :

autodiscover.example.com.   3600   IN   CNAME   autodiscover.outlook.com.

Y a-t-il déjà un enregistrement A ou un wildcard qui dirige autodiscover vers votre serveur web ? Un CNAME portant le même nom ne peut pas coexister avec un autre enregistrement : supprimez d'abord l'enregistrement A pour autodiscover. Vous n'avez rien à faire contre un wildcard (*) : un nom défini séparément a priorité (leçon 3.3).

Et DMARC ?

Microsoft ne le demande pas lors de la configuration, mais sans DMARC, les e-mails finissent plus souvent dans les spams. Si vous avez déjà un enregistrement DMARC, il peut rester en place. Assurez-vous toutefois que SPF et DKIM pour Microsoft sont correctement configurés avant de passer la politique à quarantine ou reject (leçon 4.5).

En pratique : à quoi cela ressemble dans un panneau

Dans le panneau d'exemple Mon WebOké, l'onglet DNS d'un domaine présente une carte Paramètres e-mail avec Configuration rapide. Si vous y choisissez Microsoft 365, vous voyez à l'avance quels enregistrements seront créés : MX, complément SPF et autodiscover, et la livraison locale est désactivée. Le TXT de vérification et les CNAME DKIM vous sont fournis par Microsoft lui-même ; vous les ajoutez séparément avec Ajouter un Enregistrement. Dans DirectAdmin, vous procédez de la même façon via Enregistrements MX (modèle Microsoft 365, et la case à cocher pour désactiver la livraison) et Administration DNS.

Vous utilisez un autre panneau, comme cPanel, Plesk, Cloudflare ou l'écran DNS de votre bureau d'enregistrement ? Les boutons portent d'autres noms, mais les champs sont les mêmes : nom, type, valeur et TTL. Certains bureaux d'enregistrement proposent aussi un bouton « Microsoft 365 » qui crée tous les enregistrements en une fois.

Résumé

• Reprenez toutes les valeurs depuis le centre d'administration Microsoft 365, jamais depuis un exemple.
• Vérification : TXT MS=ms... sur @. MX : l'adresse donnée par Microsoft pour votre domaine ; supprimez les anciens enregistrements MX.
• SPF : ajoutez include:spf.protection.outlook.com à votre enregistrement existant, n'en créez pas un deuxième.
• DKIM : deux CNAME, selector1 et selector2, tous deux nécessaires en raison de la rotation des clés.
• Autodiscover : CNAME vers autodiscover.outlook.com, et désactivez la livraison locale chez votre hébergeur.

Quiz

Exercice

Exercice Z7.1 : reconnaître Microsoft 365. Observez comment deux organisations réelles utilisent Microsoft 365 : microsoft.com et sidn.nl (le site de SIDN, le registre de .nl aux Pays-Bas).

1. Recherchez l'enregistrement MX de sidn.nl et de microsoft.com. Lequel des deux utilise l'ancien format (mail.protection.outlook.com) et lequel le nouveau (mx.microsoft) ?
2. Recherchez dans l'enregistrement SPF de sidn.nl l'include de Microsoft et recopiez-le.
3. Recherchez l'enregistrement CNAME de selector1._domainkey.sidn.nl. Par quel mot se termine le nom cible (les deux derniers labels) ?

Saisissez vos réponses dans le champ prévu. La vérification interroge les enregistrements en direct au moment de la soumission, donc si l'organisation change quelque chose, c'est la nouvelle réponse qui compte.

Exercice O7.1 : configurer vous-même dans votre zone d'entraînement. Connectez votre zone d'entraînement <code>.dnspractice.eu à un Microsoft 365 simulé. Dans la zone d'entraînement, vous utilisez le faux service office-demo.dnspractice.eu ; pour votre vrai domaine, reprenez les valeurs du centre d'administration de Microsoft 365.

1. Vérification : placez un enregistrement TXT sur <code>.dnspractice.eu avec le code que la page d'exercice vous indique (MS=oefen-<code>-<...>).
2. MX : faites recevoir les e-mails de <code>.dnspractice.eu sur mail.protection.office-demo.dnspractice.eu. avec la priorité 0. Supprimez les autres enregistrements MX sur <code>.dnspractice.eu.
3. SPF : complétez l'enregistrement SPF existant sur <code>.dnspractice.eu avec include:_spf.office-demo.dnspractice.eu, en conservant mx. Il ne peut y avoir qu'un seul enregistrement SPF.
4. DKIM : créez un CNAME selector1._domainkey.<code>.dnspractice.eu vers selector1.dkim.office-demo.dnspractice.eu. et un CNAME selector2._domainkey.<code>.dnspractice.eu vers selector2.dkim.office-demo.dnspractice.eu.
5. Autodiscover : créez un CNAME autodiscover.<code>.dnspractice.eu vers autodiscover.office-demo.dnspractice.eu.

Pour aller plus loin

Ces pages décrivent les étapes dans les panneaux de WebOké (DirectAdmin et Mon WebOké). Dans d'autres panneaux, cela fonctionne de la même manière.

• Guide DirectAdmin 5.10: E-mail chez Microsoft 365 ou Google Workspace, site web chez WebOké
• Guide WebOké 5.6: Configurer rapidement la messagerie dans le DNS
• Votre e-mail ailleurs : Microsoft 365, Google Workspace ou votre propre serveur de messagerie
• L'envoi d'e-mails via PHP ne fonctionne pas, les enregistrements MX pointent ailleurs
• Guide DirectAdmin 5.7: Configurer et compléter le SPF