Vérificateur SPF, DKIM et DMARC
Vérifiez l’authentification des e-mails d’un domaine : enregistrements SPF, DKIM et DMARC, avec des correctifs pour les éléments manquants
Résultat
Saisissez un domaine pour vérifier l’authentification de ses e-mails.
SPF
Les serveurs autorisés à envoyer des e-mails pour le domaine.
DKIM
Des signatures prouvant qu’un message n’a pas été modifié.
DMARC
Ce que les destinataires font des e-mails qui échouent aux vérifications.
À propos du Vérificateur SPF, DKIM et DMARC
Ce vérificateur lit les trois enregistrements qui déterminent si les e-mails d’un domaine sont fiables : SPF, DKIM et DMARC. Un domaine, une vérification, les trois réponses, chacune avec une réussite, un avertissement ou un échec et la raison expliquée simplement.
Il détecte les erreurs qui envoient discrètement les e-mails dans les courriers indésirables : un enregistrement SPF dépassant la limite de 10 recherches, un second enregistrement SPF, une clé DKIM de 1024 bits ou une politique DMARC qui ne bloque rien.
Lorsque DMARC est absent, vous obtenez un enregistrement initial à copier, et le fournisseur de messagerie du domaine est identifié à partir de ses serveurs de messagerie.
Fonctionnalités principales
- Les trois en une seule fois : SPF, DKIM et DMARC sont vérifiés ensemble, avec un score global.
- Nombre de recherches SPF : les mécanismes include sont suivis pour compter chaque recherche DNS par rapport à la limite de 10, la cause cachée d’échec SPF la plus courante.
- DKIM sans connaître le sélecteur : les noms utilisés par les principaux services de messagerie sont testés pour vous ; vous pouvez aussi saisir le vôtre.
- Robustesse des clés : la longueur de chaque clé DKIM s’affiche, avec un avertissement pour celles de moins de 2048 bits.
- Analyse de la politique DMARC : la politique, sa couverture et l’adresse de réception des rapports sont expliquées, avec un enregistrement suggéré si aucun n’existe.
- Fournisseur de messagerie : Google Workspace, Microsoft 365, Zoho et d’autres sont identifiés à partir des serveurs de messagerie.
Mode d’emploi
- Saisissez un domaine : la partie après le @ dans l’adresse e-mail, comme example.com.
- Ajoutez un sélecteur si vous le connaissez : facultatif ; c’est la valeur s= dans l’en-tête DKIM-Signature d’un message envoyé.
- Appuyez sur Vérifier : les trois enregistrements sont lus en quelques secondes.
- Lisez chaque fiche : le vert indique que tout va bien, l’orange demande votre attention, le rouge indique une erreur ou une absence.
- Corrigez et vérifiez à nouveau : copiez un enregistrement suggéré dans votre DNS, attendez sa publication et relancez la vérification.
Cas d’usage courants
- E-mails classés comme indésirables : trouvez l’enregistrement absent ou incorrect qui en est la cause.
- Règles d’envoi en masse : confirmez la présence de SPF, DKIM et DMARC avant d’envoyer aux grands fournisseurs de messagerie.
- Après un changement de fournisseur de messagerie : assurez-vous que l’ancien fournisseur est retiré de SPF et que le nouveau signe avec DKIM.
- Protection contre l’usurpation : voyez si quelqu’un pourrait envoyer de faux e-mails convaincants au nom de votre domaine.
- Audits de clients et de fournisseurs : vérifiez le domaine d’un partenaire avant de faire confiance à des e-mails prétendant en provenir.
Questions fréquentes
À quoi servent SPF, DKIM et DMARC ?
SPF répertorie les serveurs autorisés à envoyer des e-mails pour un domaine. DKIM ajoute une signature prouvant qu’un message n’a pas été modifié. DMARC indique aux destinataires quoi faire lorsqu’un message échoue à ces vérifications et où envoyer les rapports.
Pourquoi SPF échoue-t-il avec trop de recherches ?
Les destinataires s’arrêtent après 10 recherches DNS lors de la lecture d’un enregistrement SPF et de ses mécanismes include. Chaque include, a et mx compte, tout comme les include imbriqués. Au-delà de la limite, SPF échoue pour chaque message.
Pourquoi aucune clé DKIM n’est-elle trouvée ?
Les clés DKIM sont placées sous un nom de sélecteur choisi par le service de messagerie. Si le vôtre n’est pas un nom courant, ouvrez les en-têtes d’un message que vous avez envoyé et saisissez la valeur s= de la ligne DKIM-Signature.
Quelle politique DMARC dois-je utiliser ?
Commencez avec p=none et une adresse de réception des rapports, lisez les rapports pendant quelques semaines, puis passez à quarantine et enfin à reject lorsque tous vos expéditeurs légitimes réussissent les vérifications.
Combien de temps faut-il pour voir les changements DNS ?
Généralement quelques minutes, parfois jusqu’à quelques heures selon la durée de vie de l’enregistrement. Relancez la vérification après la publication du changement.
Une réussite garantit-elle que mes e-mails arrivent dans la boîte de réception ?
Non. Ces enregistrements prouvent qui a envoyé un message ; son contenu, la réputation d’envoi et le taux de plaintes déterminent toujours où il arrive.
Conseils d’expert
- Conservez un seul enregistrement SPF : regroupez tous les expéditeurs dans un enregistrement unique au lieu d’en ajouter un second.
- Retirez les anciens expéditeurs : les include de services que vous n’utilisez plus gaspillent des recherches et élargissent la liste de ceux qui peuvent envoyer en votre nom.
- Renouvelez les clés DKIM : remplacez les clés chaque année et retirez les anciens sélecteurs dès que plus rien ne signe avec eux.
- Lisez les rapports DMARC : ils montrent chaque service qui envoie au nom de votre domaine, y compris ceux que vous avez oubliés.
- Protégez les domaines inutilisés : les domaines qui n’envoient aucun e-mail doivent publier v=spf1 -all et une politique DMARC reject.