Distribution fractionnée : combiner des boîtes mail Hostsuar et Google Workspace

La distribution fractionnée (split delivery) permet de travailler ensemble, sous un seul domaine, avec des comptes de messagerie répartis entre deux services : Google Workspace et notre hébergement cPanel.

Ce guide décrit une architecture précise : Hostsuar reçoit en premier et distribue selon le destinataire. Google documente aussi d'autres architectures de distribution fractionnée ; ne mélangez pas leurs routes ou leurs MX avec celle-ci sans adapter l'ensemble. Il ne s'agit pas d'une livraison de chaque message en double dans deux boîtes mail.

Points critiques avant de commencer

Configuration délicate : une erreur dans la procédure peut entraîner la perte de messages ou des boucles de livraison. Il est essentiel de suivre chaque étape correctement.

Dépendance au serveur : une fois la configuration en place, votre hébergement cPanel sert de point central de distribution.

Route interne de Google obligatoire : les étapes de cPanel ne suffisent pas pour une distribution fractionnée dans les deux sens. Google Workspace doit avoir une règle qui envoie à la passerelle de Hostsuar les destinataires du domaine qui n'existent pas chez Google. La règle doit s'appliquer uniquement aux messages sortants internes, pas aux messages entrants, car ceux-ci arrivent déjà depuis cPanel et les renvoyer créerait une boucle. Sans cette route, un utilisateur Google peut recevoir une erreur en écrivant à un compte qui n'existe que dans cPanel. Demandez à l'assistance le nom d'hôte avec un certificat valide et les données de la passerelle avant de continuer ; n'utilisez pas une IP ou un nom d'hôte deviné.

Fonctionnement et prérequis techniques

Comment circule le courrier

Dans cette architecture, le courrier externe adressé aux MX publics est d'abord livré sur votre hébergement. De là, notre serveur décide automatiquement : si le compte existe dans cPanel, il est livré localement ; s'il n'existe aucune destination locale applicable et que vous avez créé le redirecteur de domaine, il est redirigé vers Google Workspace.

Pour le courrier sortant, depuis cPanel il part normalement vers son destinataire. Depuis Google Workspace, les destinataires externes sont servis directement par Google. Les destinataires du même domaine qui n'existent pas chez Google n'arriveront dans cPanel que si la route interne indiquée dans la section précédente est configurée.

Configuration DNS de cette architecture

Enregistrements MX : l'architecture utilise uniquement les MX de Hostsuar, avec les valeurs fournies pour votre service. Préparez et testez les routes avant la bascule ; ne supprimez pas des MX qui traitent le courrier pendant la préparation.

Configuration correcte (Hostsuar uniquement) :

example.com MX 0 HOST_MX_FACILITADO_POR_HOSTSUAR

Configuration incorrecte (Google et Hostsuar en même temps) :

example.com MX 1 smtp.google.com
example.com MX 0 HOST_MX_FACILITADO_POR_HOSTSUAR

ou avec les anciens enregistrements de Google :

example.com MX 1 ASPMX.L.GOOGLE.COM
example.com MX 5 ALT1.ASPMX.L.GOOGLE.COM
example.com MX 0 HOST_MX_FACILITADO_POR_HOSTSUAR

Enregistrement SPF : il doit exister un seul SPF qui autorise les deux services. S'il n'y a pas d'autres sources d'envoi, vous pouvez utiliser cette valeur ; si un SPF existe déjà, intégrez les deux mécanismes avant le all final en suivant le guide de gestion de l'enregistrement SPF :

v=spf1 +a:spf.theservercluster.com include:_spf.google.com -all

Google Workspace : le domaine doit être validé et le service opérationnel, mais sans ses enregistrements MX configurés.

Configuration pas à pas

Étape 1 : préparer Google Workspace

Validez la propriété du domaine dans la console d'administration Google
NE configurez PAS les enregistrements MX quand Google vous le demande
Notez le domaine de test associé au domaine principal de Workspace (par exemple votredomaine.com.test-google-a.com). Ne supposez pas que chaque domaine secondaire ou alias en possède un équivalent.
Configurez dans la console d'administration Google la route des comptes inactifs et inconnus vers la passerelle de Hostsuar fournie par l'assistance. Activez la règle uniquement pour les messages sortants internes, laissez décochée l'option Messages entrants et vérifiez la connexion TLS. Si elle s'applique aussi aux messages entrants que cPanel redirige vers Google, les deux services se renverront le courrier et créeront une boucle.
Configurez aussi la passerelle entrante de Google avec les IP publiques exactes fournies par l'assistance et activez la détection de l'IP externe d'origine. Avant de l'activer, confirmez avec l'assistance que la passerelle vérifie DMARC et applique la politique de l'expéditeur au courrier externe : Gmail n'applique pas obligatoirement cette politique aux messages reçus via une passerelle entrante. Ne copiez pas les IP d'un autre serveur ou client ; une liste incorrecte peut fausser les contrôles de spam et d'authentification.

Étape 2 : configurer le redirecteur de domaine

Accédez à cPanel → Email → Forwarders et cliquez sur « Add Domain Forwarder ». Sélectionnez votre domaine comme origine et saisissez l'alias de Google Workspace comme destination (votredomaine.com.test-google-a.com).

Le redirecteur de domaine intervient lorsque cPanel ne peut pas livrer le message à une adresse ou une réponse automatique existante. Un compte ou une réponse automatique locale pour le même destinataire a donc la priorité et empêche la redirection vers Google.

Étape 3 : gérer les comptes

Pour les comptes Google Workspace : ne créez pas le compte dans cPanel, afin que le redirecteur fonctionne automatiquement.

Pour les comptes de l'hébergement : créez les comptes normalement dans cPanel sans configurer de redirection.

Problèmes fréquents et solutions

Erreur « Too many Received headers - suspected mail loop »

N'en déduisez pas la cause simplement parce qu'il existe des MX des deux services. Ouvrez les en-têtes Received du rebond et vérifiez si Google et cPanel se renvoient le même message par des routes réciproques. Corrigez la route qui le renvoie, vérifiez quels doivent être les seuls MX publics de l'architecture et ne gardez cPanel en Local que si ses MX sont ceux qui reçoivent le courrier en premier.

Les messages internes n'arrivent pas

En cas de problème entre les services, vérifiez la configuration du redirecteur de domaine, assurez-vous qu'il n'existe pas de comptes en double et contrôlez que l'alias de Google Workspace fonctionne correctement.

Problèmes de délivrabilité

Vérifiez que l'enregistrement SPF inclut les deux services, configurez DKIM pour les deux services et contrôlez que les enregistrements MX sont uniquement ceux de l'hébergement.

Caractéristiques techniques du redirecteur

Le redirecteur de domaine de cPanel est utilisé pour les destinataires que le serveur ne peut pas livrer à un compte ou à une réponse automatique locale. Si usuario1@votredomaine.com existe dans cPanel, le message est livré localement ; si usuario2@votredomaine.com n'a aucune destination locale, le redirecteur vers Google Workspace s'applique.

Testez chaque parcours avant de finaliser le changement

Utilisez vos propres comptes de test et vérifiez séparément :

Un expéditeur externe vers une boîte mail locale et vers une boîte Workspace.
Une boîte mail locale vers une boîte Workspace du même domaine.
Une boîte Workspace vers une boîte locale du même domaine.
Les envois externes depuis les deux services.
Un destinataire inexistant, qui doit aboutir au traitement prévu et ne pas circuler entre les serveurs.

Examinez les en-têtes, l'authentification et les journaux des deux côtés. Il ne suffit pas qu'un test externe arrive dans Gmail : le courrier interne du domaine pourrait toujours échouer.

Conservez les MX et les règles précédents et prévoyez comment revenir à l'état antérieur si les vérifications échouent. Un utilisateur, un alias ou une réponse automatique créé en double par erreur peut changer le serveur qui reçoit. Tenez un inventaire de l'emplacement de chaque adresse et vérifiez les deux configurations lorsque vous ajoutez ou retirez des utilisateurs.