Vérification d’authentification e-mail : SPF, DKIM, DMARC, DNSSEC
Quand les mails d’entreprise tombent dans les spams des clients, le coupable est rarement le contenu : c’est souvent un enregistrement DNS manquant. SPF déclare quels serveurs peuvent envoyer en votre nom, DKIM signe les messages, DMARC fixe la politique. S’il manque une pièce, le filtre destinataire jette le message. Cet outil interroge les enregistrements SPF, DKIM, DMARC et DNSSEC du domaine saisi et affiche les résultats à l’écran. Laissez le sélecteur DKIM vide et les sélecteurs courants sont essayés un par un. La requête tourne sur le serveur, les résultats s’affichent, rien n’est conservé.
Étape par étape
- Saisissez le domaine à auditer, forme nue comme exemple-entreprise.com, sans www.
- Renseignez le sélecteur DKIM si vous le connaissez ; vide, les courants sont essayés automatiquement.
- Lancez la vérification et attendez le résultat ; cela prend généralement quelques secondes.
- Lisez les expéditeurs autorisés sur la ligne SPF et la politique sur la ligne DMARC.
- Vérifiez quels sélecteurs ont répondu dans la section DKIM et l’état de signature côté DNSSEC.
- Corrigez les enregistrements manquants ou faux dans votre panneau de domaine, puis relancez.
Exemple d’utilisation
Murat gère l’informatique d’une société de logistique et entend sans cesse les mêmes plaintes : les devis tombent en spam. Il saisit le domaine de l’entreprise et laisse le sélecteur vide. Le résultat montre un enregistrement SPF mais aucun DMARC, et seul un antique sélecteur répond pour DKIM. Il ajoute un enregistrement DMARC dans le panneau, enregistre un sélecteur frais et relance le contrôle une heure plus tard : chaque ligne au vert. Les plaintes cessent la semaine même.
Vérifier le résultat
Confirmez que l’enregistrement SPF commence par v=spf1 et couvre tous vos services d’envoi. Vérifiez que la politique DMARC porte none, quarantine ou reject ; sans enregistrement, commencez par none. Dans la section DKIM, votre sélecteur actuel doit répondre, les vieux doivent être nettoyés. Si DNSSEC apparaît non signé, envisagez d’activer la signature chez votre bureau d’enregistrement. Après les changements, laissez propager puis relancez.
Questions fréquentes
Qu’est-ce qu’un sélecteur DKIM et où le trouver ?
Le sélecteur est le nom DNS de votre enregistrement de signature, imprimé dans le panneau de votre fournisseur. Laissez vide si inconnu ; l’outil essaie les courants un par un. Si rien ne répond, saisissez la valeur de votre panneau.
Je n’ai pas d’enregistrement DMARC ; est-ce grave ?
Le courrier continue, mais des faux peuvent facilement partir en votre nom. Commencez par une politique none de simple observation, suivez les rapports, puis montez à quarantine.
Combien de serveurs un SPF peut-il contenir ?
La limite de requêtes DNS impose de ne pas dépasser une dizaine de résolutions. Avec beaucoup de services, aplatissez et simplifiez ; l’outil montre l’enregistrement brut, le superflu se voit.
Que signifie le résultat DNSSEC ?
Il indique si les réponses de votre domaine sont signées. Non signé ne bloque pas le courrier, mais une couche antifraude manque. Demandez à votre opérateur d’activer la signature.
Mes domaines interrogés sont-ils enregistrés ?
Non. La requête se fait en direct, les résultats s’affichent à l’écran, rien n’est stocké. Vous pouvez auditer d’autres domaines ; ce sont des données DNS publiques.
Ouvrir l’outil: Vérification d'authentification e-mail →
Conservez un original avant le traitement. Les exemples sont illustratifs ; les résultats dépendent du document.