Vérificateur SPF et DMARC

Pourquoi SPF, DKIM et DMARC sont importants

L’e-mail a été conçu sans vérification de l’expéditeur, si bien que n’importe qui peut mettre votre domaine dans la ligne « De ». Trois normes reposant sur le DNS y remédient. Depuis février 2024, Google et Yahoo les exigent des expéditeurs en masse, et l’absence de ces enregistrements est aujourd’hui une cause fréquente de courriers légitimes classés comme spam.

• SPF liste les serveurs autorisés à envoyer du courrier pour votre domaine, dans un enregistrement TXT commençant par v=spf1.
• DKIM ajoute une signature cryptographique à chaque message ; les destinataires la vérifient avec une clé publique publiée à l’adresse selector._domainkey.yourdomain.
• DMARC (à l’adresse _dmarc.yourdomain) indique aux destinataires quoi faire lorsque SPF et DKIM ne s’alignent pas avec le domaine De (none, quarantine ou reject) et où envoyer les rapports.

Ce que teste ce vérificateur

• SPF existe, il n’y a qu’un seul enregistrement, il se termine par ~all ou -all (jamais +all), et le nombre total de recherches DNS, y compris les mécanismes include: imbriqués, reste dans la limite de 10 fixée par la RFC 7208.
• Les clés DKIM sur le sélecteur que vous fournissez, ou sur une douzaine de sélecteurs courants utilisés par Google Workspace, Microsoft 365 et les services d’envoi populaires.
• DMARC existe, a une politique valide, s’applique à 100 % du courrier et envoie des rapports agrégés pour que vous puissiez voir qui envoie en votre nom.

Exemples d’enregistrements

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Déploiement recommandé

1. Publiez un SPF couvrant chaque service qui envoie pour vous, se terminant par ~all.
2. Activez la signature DKIM chez chaque fournisseur.
3. Publiez DMARC avec p=none et une adresse rua, et examinez les rapports pendant deux à quatre semaines.
4. Passez à p=quarantine, puis à p=reject, une fois que tout le courrier légitime passe les contrôles.

Guide complet : SPF, DKIM et DMARC expliqués.

Questions fréquentes

Dois-je utiliser ~all ou -all ?

Avec DMARC en place, les deux fonctionnent ; c’est DMARC qui décide du résultat. ~all est le point de départ le plus sûr ; -all est plus strict une fois que vous êtes certain que chaque expéditeur est listé.

Que signifie « trop de recherches DNS » ?

Chaque include, a, mx, exists et redirect coûte une recherche, y compris ceux qui se trouvent dans les enregistrements inclus. Au-delà de 10, SPF échoue pour tout le monde. Supprimez les services inutilisés ou remplacez les mécanismes include par des plages ip4/ip6.

Les domaines parqués ont-ils besoin de ces enregistrements ?

Oui. Protégez les domaines qui n’envoient jamais d’e-mails avec v=spf1 -all et v=DMARC1; p=reject.

Mis à jour 2026-10-18