Vérificateur SPF, DKIM et DMARC
Vérifiez l’authentification e-mail d’un domaine en une seule fois. Voyez son enregistrement SPF et son nombre de requêtes DNS, trouvez ses clés DKIM et lisez sa politique DMARC, chacun avec un verdict clair et ce qu’il faut corriger. Gratuit, sans inscription.
Vérifier un domaine
Saisissez le domaine de l’adresse From: de vos e-mails. Les enregistrements sont lus en direct dans le DNS public.
Saisissez un domaine puis cliquez sur Vérifier.
Rien n’a encore été vérifié.
Les requêtes partent directement de votre navigateur vers Google Public DNS en HTTPS. Rien n’est envoyé à nos serveurs, journalisé ni enregistré.
Trois enregistrements DNS décident si vos e-mails inspirent confiance. SPF liste les serveurs autorisés à envoyer pour votre domaine, DKIM publie la clé qui vérifie la signature de chaque message, et DMARC indique aux destinataires quoi faire quand les deux échouent et où envoyer les rapports. Une faille dans l’un d’eux explique le plus souvent les e-mails en spam ou l’usurpation d’un domaine. Cet outil lit les trois et explique chaque résultat.
Principaux avantages
Cas d’usage courants
Comment l’utiliser
- 1.Saisissez le domaine. Indiquez le domaine de votre adresse From:, par exemple
exemple.fr. Une adresse e-mail ou une URL marche aussi : le domaine est extrait. - 2.Ajoutez un sélecteur DKIM si vous le connaissez. Laissez vide pour essayer les sélecteurs courants. Votre vrai sélecteur est la valeur
s=de l’en-tête DKIM-Signature d’un message envoyé. - 3.Cliquez sur Vérifier le domaine. SPF, DKIM et DMARC sont interrogés en parallèle. Chacun reçoit un verdict et une liste de constats clairs et concrets.
- 4.Corrigez puis revérifiez. Modifiez l’enregistrement chez votre hébergeur DNS, puis vérifiez à nouveau. Un changement peut mettre jusqu’au TTL de l’enregistrement à apparaître.
Ce que fait chaque enregistrement
Ils fonctionnent ensemble. SPF et DKIM prouvent qu’un message est authentique ; DMARC les relie au domaine visible du From: et fixe la politique.
ip4:, include: et consorts, et se termine par ~all ou -all. Il doit y en avoir exactement un.include, a, mx, exists et redirect coûte une requête DNS, includes imbriqués compris. Au-delà de 10, c’est une erreur permanente.p= vide signifie que la clé a été révoquée._dmarc. suivi du domaine. Sa balise p= est la politique : none, quarantine ou reject.Fonctions clés
- Vérifie SPF, DKIM et DMARC ensemble et donne un verdict pour chacun
- Suit les include et redirect SPF pour compter les requêtes face à la limite de 10
- Signale +all, ?all, l’absence de all, ptr et les SPF en double
- Essaie 17 sélecteurs DKIM courants, ou les vôtres, et estime la taille de la clé
- Lit la politique DMARC, celle des sous-domaines, pct et les adresses de rapport
- Accepte un domaine, une adresse e-mail ou une URL
- Les requêtes passent par Google Public DNS en HTTPS, directement depuis votre navigateur
Réussir ici ne garantit pas la boîte de réception
Ces enregistrements prouvent qui a envoyé un message. Les destinataires tiennent aussi compte de la réputation de l’expéditeur, du contenu, des plaintes et du volume : un domaine aux SPF, DKIM et DMARC parfaits peut quand même finir en spam, et une correction peut mettre quelques jours à se voir.
Déployez DMARC par étapes : commencez par p=none avec une adresse rua, lisez les rapports jusqu’à ce que tous les vrais expéditeurs passent, puis passez à quarantine et enfin à reject. Notre guide pour lire un rapport DMARC montre quoi regarder, et l’outil de recherche DNS affiche tous les autres types d’enregistrement.
Questions fréquentes
Quelle différence entre SPF, DKIM et DMARC ?⌄
SPF liste les serveurs autorisés à envoyer pour un domaine. DKIM ajoute à chaque message une signature cryptographique, vérifiée avec une clé publiée dans le DNS. DMARC exige que SPF ou DKIM réussisse pour le domaine visible du From:, dit quoi faire sinon et demande l’envoi de rapports. Il vous faut les trois.
Pourquoi aucune clé DKIM n’est-elle trouvée ?⌄
Les clés DKIM se trouvent sur selecteur._domainkey.votredomaine, et le sélecteur est choisi par le service qui signe vos e-mails : on ne peut pas le découvrir via le DNS. L’outil essaie les sélecteurs courants. Si le vôtre est différent, cherchez s= dans l’en-tête DKIM-Signature d’un message envoyé et saisissez-le.
Que signifie « trop de requêtes DNS » pour SPF ?⌄
SPF autorise au plus 10 requêtes DNS lors de son évaluation, en comptant chaque include, a, mx, exists et redirect, y compris dans les enregistrements inclus. Au-delà, le résultat est une erreur permanente et SPF échoue pour tous les messages. Retirez les services inutilisés ou remplacez des include par leurs plages ip4 et ip6.
Faut-il utiliser ~all ou -all ?⌄
Les deux conviennent une fois DMARC en place, car c’est DMARC qui décide. ~all (softfail) est le choix prudent tant que vous découvrez tous les services qui envoient pour vous. -all (fail) est plus strict. N’utilisez jamais +all, qui autorise tout Internet.
p=none suffit-il pour DMARC ?⌄
C’est le bon point de départ, pas d’arrivée. p=none ne fait que surveiller : le courrier en échec est quand même livré, l’usurpation n’est donc pas bloquée. Quand vos rapports montrent que tous les expéditeurs légitimes passent, passez à p=quarantine puis à p=reject. Google et Yahoo exigent au minimum un enregistrement DMARC des expéditeurs en masse.