cPanel o2switch : zone DNS, MX, SPF, DKIM et DMARC

Dans le cPanel o2switch, la zone DNS se trouve dans la catégorie Domaines, outil Zone Editor : clique sur Gérer en face de ton domaine pour afficher et modifier tous ses enregistrements (A, CNAME, MX, TXT, DMARC). Une exception à connaître avant de toucher à quoi que ce soit : chez o2switch, le SPF et le DKIM se règlent dans l’outil Authentification de la catégorie Emails, pas dans la zone. La suite détaille chaque enregistrement, puis SPF, DKIM et DMARC, avec les noms de menus tels que les décrit la documentation officielle d’o2switch.

Se connecter au cPanel o2switch

o2switch sépare deux interfaces. L’espace client (clients.o2switch.fr) sert à l’administratif : factures, renouvellements et serveurs DNS d’un domaine réservé chez o2switch (FAQ o2switch, espace client). La zone DNS, elle, se modifie dans cPanel, l’interface technique de l’hébergement.

La FAQ o2switch « Comment se connecter sur cPanel ? » donne plusieurs adresses d’accès :

• l’adresse principale du mail « Bienvenue chez o2switch », de la forme https://nom-serveur.o2switch.net:2083 ;
• n’importe quel domaine hébergé suivi de :2083, s’il pointe directement vers o2switch, sans CDN ;
• l’adresse de secours https://cpanel.ton-domaine.fr, sans :2083, quand le port 2083 est bloqué (réseau d’entreprise, Wi-Fi public).

Les codes d’accès figurent dans le mail de bienvenue. Un nom de domaine seul, commandé sans hébergement, n’inclut pas de compte cPanel, donc pas d’éditeur de zone : o2switch propose alors de confier la zone à un prestataire DNS externe comme Cloudflare (voir plus bas).

Où trouver la zone DNS dans cPanel o2switch

Sur la page d’accueil de cPanel, ouvre Zone Editor dans la catégorie Domaines. Zone Editor désigne l’outil cPanel qui liste les domaines configurés sur l’hébergement et permet de modifier la zone DNS de chacun (FAQ o2switch, éditeur de zone DNS).

En face de chaque domaine, quatre liens : A Record, CNAME Record, MX Record et Gérer. Les trois premiers sont des ajouts rapides, et o2switch prévient qu’ils ajoutent une entrée sans modifier celles qui existent. Utiliser A Record pour changer d’IP fait donc pointer le domaine vers deux adresses, l’ancienne et la nouvelle. Pour modifier une valeur, passe toujours par Gérer.

La page Gérer affiche la zone en tableau, filtrable par nom et par type. Chaque ligne se modifie ou se supprime. La flèche à droite du bouton Ajouter un enregistrement ouvre un menu avec les types A, AAAA, CAA, CNAME, DMARC, MX, SRV et TXT.

Le Zone Editor n’a d’effet que si ton domaine utilise les serveurs DNS d’o2switch : ns1.o2switch.net (109.234.160.5) et ns2.o2switch.net (109.234.161.5), d’après la FAQ o2switch sur ses serveurs DNS. Si les serveurs de noms désignent un autre prestataire (Cloudflare, ton registrar), c’est chez lui que la zone se modifie. Pour un domaine réservé chez o2switch, les serveurs DNS se changent dans l’espace client, rubrique Gérer mes services, onglet État des domaines, menu … du domaine. o2switch annonce environ 24h avant que le changement soit visible (FAQ o2switch, changer les serveurs DNS).

Enregistrement A : faire pointer le domaine vers un serveur

L’enregistrement A désigne l’entrée qui associe un nom à une adresse IPv4 ; l’AAAA fait la même chose avec une adresse IPv6. Pour changer la destination de ton site :

1. Dans Zone Editor, clique sur Gérer en face du domaine.
2. Filtre sur le type A et repère la ligne du domaine racine (et celle de www si c’est aussi un A).
3. Modifie la ligne, remplace l’adresse IP, enregistre.

Dans le champ Nom, cPanel complète tout seul le nom de domaine : app devient app.ton-domaine.fr. (documentation cPanel, Zone Editor).

Pour faire revenir un domaine vers o2switch, l’IP de l’hébergement s’affiche sur la page d’accueil de cPanel, bloc Informations générales. o2switch ne fournit pas d’adresse IPv6 pour faire pointer un site vers l’hébergement : supprime tout AAAA résiduel sur le domaine racine et sur www, sinon les visiteurs en IPv6 risquent d’arriver sur l’ancienne destination (FAQ o2switch, Cloudflare et o2switch).

Pour un site sur Vercel, Netlify ou un autre serveur, copie les valeurs du tableau de bord du prestataire (détails dans domaine perso sur Vercel/Netlify : DNS, SSL et pièges). Si tes emails restent chez o2switch, lis la section MX avant de valider : un MX qui vise le domaine racine suit son enregistrement A.

CNAME : le sous-domaine www

Le CNAME désigne un alias : il fait pointer un nom vers un autre nom, jamais vers une adresse IP. Un nom qui porte un CNAME ne devrait porter aucune autre donnée (RFC 1034) : pas de CNAME sur un nom qui a déjà un A, un MX ou un TXT, ni sur le domaine racine, qui porte déjà les enregistrements NS et SOA de la zone.

Dans Gérer, ouvre la flèche d’Ajouter un enregistrement, choisis CNAME, mets www en nom et le domaine racine en cible. Si www a déjà un A, modifie cette ligne (le type d’une entrée existante peut être changé) au lieu d’en créer une seconde.

MX : emails chez o2switch ou chez un autre fournisseur

Un enregistrement MX désigne le serveur qui reçoit le courrier du domaine. Sa priorité est un entier sur 16 bits, et la valeur la plus basse passe en premier (RFC 1035). Chez o2switch, les MX se modifient dans le Zone Editor, mais l’outil Routage des emails (catégorie Emails) doit rester cohérent avec eux, comme l’explique la FAQ o2switch sur le Zone Editor.

Emails hébergés chez o2switch. Une seule entrée MX, en priorité 0, qui vise le domaine (ou un sous-domaine) pointant lui-même vers l’hébergement. Dans Routage des emails, le routage doit être détecté ou configuré en local.

Emails chez Google Workspace, Microsoft 365 ou ailleurs. Garde uniquement les MX du fournisseur et supprime ceux d’o2switch. Dans Routage des emails, le routage doit être détecté ou forcé en distant, sinon les emails envoyés depuis l’hébergement vers ton domaine (un formulaire de contact, par exemple) ne seront pas acheminés correctement.

Site ailleurs, emails chez o2switch. Si ton MX vise le domaine racine et que tu déplaces son A vers un autre serveur, le courrier part vers la nouvelle IP. o2switch recommande alors de faire pointer le MX vers le nom du serveur qui héberge ton compte, de la forme nom-serveur.o2switch.net (indiqué dans le mail de bienvenue), en priorité 0.

Prépare les nouvelles valeurs avant de supprimer les anciennes et fais le changement en une seule fois, pour que le courrier ne se perde pas pendant la transition.

TXT : vérifier le domaine pour Google Search Console

Un enregistrement TXT associe un simple texte au domaine. C’est ce que demande Google Search Console pour une propriété de type Domaine. La FAQ o2switch sur la validation TXT décrit la marche à suivre : dans Gérer, flèche d’Ajouter un enregistrement, type TXT. Mets ton nom de domaine dans Nom, laisse le TTL par défaut et colle dans Valeur le texte fourni par Google. Patiente quelques minutes avant de cliquer sur Valider dans la Search Console. Plusieurs TXT peuvent coexister sur le même nom ; seul le SPF doit rester unique.

SPF et DKIM chez o2switch : l’outil Authentification

Point propre à o2switch : la FAQ sur le Zone Editor indique que les SPF ne doivent pas être édités depuis cet outil : ils seraient écrasés à la prochaine mise à jour de la zone. Le SPF se règle dans Authentification, catégorie Emails (le blog d’o2switch et la documentation cPanel l’appellent Email Deliverability).

Jabatus désigne le système d’envoi des emails sortants d’o2switch, la passerelle SMTP par laquelle transitent les messages envoyés depuis l’hébergement (blog o2switch sur Jabatus). La seule valeur SPF qu’o2switch demande pour ses services est donc include:spf.jabatus.fr. La FAQ SPF et DKIM d’o2switch précise que toute autre valeur peut empêcher l’envoi, et met en garde contre les SPF incorrects proposés par certaines IA.

Pour autoriser un service d’envoi supplémentaire (Brevo, Mailjet, Google Workspace) :

1. Ouvre Authentification, puis Gérer en face du domaine.
2. Clique sur Personnaliser.
3. Dans la partie INCLUDE, ajoute l’include donné par ton fournisseur, en gardant spf.jabatus.fr si ton site envoie encore des emails depuis o2switch.
4. Coche Toute la liste (ALL) seulement si tu veux que seuls les expéditeurs listés puissent envoyer pour ce domaine.

La spécification SPF (RFC 7208) fixe deux limites : un seul enregistrement SPF par domaine, et au plus 10 termes déclenchant une requête DNS (include, a, mx, ptr, exists et redirect) sur toute l’évaluation, includes imbriqués compris. Au-delà, le résultat est une erreur permanente (permerror).

Côté DKIM, la signature d’o2switch est activée par défaut ; l’outil Authentification permet seulement de l’activer ou de la désactiver. Le DKIM d’un service tiers s’ajoute dans le Zone Editor en enregistrement TXT, sous un nom de la forme selecteur._domainkey.ton-domaine.fr (RFC 6376). Si tes emails partent quand même en spam, vois email pro qui finit en spam ou n’arrive pas.

DMARC chez o2switch : créer l’enregistrement

Un enregistrement DMARC désigne une entrée TXT publiée au nom _dmarc.ton-domaine.fr, qui indique aux messageries quoi faire d’un email qui échoue aux contrôles et où envoyer les rapports. La référence est la RFC 9989, publiée en mai 2026, qui remplace la RFC 7489 de 2015.

Pourquoi s’en occuper : depuis le 1er février 2024, Google exige SPF, DKIM et DMARC de tout expéditeur qui envoie plus de 5 000 messages par jour à des comptes Gmail, et au moins SPF ou DKIM de tous les autres. Une politique DMARC à none suffit pour cette exigence (consignes Google pour les expéditeurs).

Chez o2switch, deux méthodes :

Par l’outil Authentification. D’après le blog o2switch sur SPF, DKIM et DMARC, cet écran signale si un DMARC est détecté et, s’il manque, propose généralement d’en créer un. Le blog recommande d’accepter : la politique générée par défaut est prudente et observe sans bloquer. La documentation cPanel rappelle que DMARC exige des SPF et DKIM valides.

Par le Zone Editor. Dans Gérer, ouvre la flèche d’Ajouter un enregistrement et choisis DMARC. o2switch précise que c’est en réalité une entrée TXT et que le formulaire s’enrichit : tu y choisis la politique et, en option, l’adresse des rapports.

Un enregistrement de départ ressemble à ceci :

v=DMARC1; p=none; rua=mailto:dmarc@ton-domaine.fr

• v=DMARC1 doit être la première balise, sinon l’enregistrement est ignoré.
• p fixe la politique : none (aucune consigne), quarantine (message jugé suspect) ou reject (rejet).
• rua donne l’adresse des rapports agrégés. Sans elle, aucun rapport n’est envoyé.

La RFC 9989 conseille de démarrer en p=none. Pour un domaine dont les utilisateurs écrivent sur des listes de diffusion, elle recommande au moins un mois en none, puis autant en quarantine, avant d’envisager reject. Deux pièges. Si le formulaire affiche un pourcentage (la documentation cPanel liste ce champ), la RFC 9989 a supprimé la balise pct : inutile de la renseigner. Et n’utilise qu’une des deux méthodes : quand plusieurs enregistrements DMARC existent sur le même nom, ils sont tous ignorés.

DNSSEC et Cloudflare avec un domaine o2switch

o2switch et Cloudflare. La FAQ o2switch sur Cloudflare distingue trois cas. Domaine seul chez o2switch : confie la zone à Cloudflare et remplace ns1.o2switch.net et ns2.o2switch.net par ceux que Cloudflare attribue. Hébergement o2switch avec les DNS o2switch : reste sur le Zone Editor. Zone chez Cloudflare et site chez o2switch : un A sur le domaine racine vers l’IP affichée dans cPanel, un CNAME www vers le domaine racine, d’abord en « DNS uniquement ». Les MX ne passent jamais par le proxy, et o2switch déconseille de cumuler le proxy Cloudflare avec son outil ipXtender. Le pas-à-pas est dans configurer ses DNS sur Cloudflare.

DNSSEC. Avant de changer les serveurs DNS, vérifie si DNSSEC est actif : o2switch explique qu’une ancienne entrée DS laissée chez le registre avec de nouveaux serveurs provoque une erreur SERVFAIL. Désactive d’abord l’ancienne délégation, puis réactive DNSSEC avec les informations du nouveau fournisseur. cPanel peut afficher un lien DNSSEC dans le Zone Editor si l’hébergeur active la fonction (documentation cPanel) ; la fiche o2switch du Zone Editor n’en mentionne pas, donc en cas de doute, demande au support.

Propagation : combien de temps attendre

Le TTL est la durée, en secondes, pendant laquelle un résolveur peut garder un enregistrement en cache (RFC 1035) : une modification n’est vue partout qu’une fois l’ancien TTL écoulé. Avant une migration, baisse donc le TTL des lignes concernées à l’avance ; le reste du temps, la valeur par défaut du formulaire convient.

Pour vérifier, o2switch cite l’outil What’s My DNS ; en ligne de commande, dig TXT _dmarc.ton-domaine.fr +short affiche ton DMARC. Si rien ne bouge après 24h, suis DNS qui ne propage pas : diagnostic et résolution.