Ce que vérifie cet outil SPF, DKIM et DMARC
SPF, DKIM et DMARC sont les trois enregistrements DNS que les serveurs de réception utilisent pour savoir si un message vient vraiment de votre domaine. Sans eux, Gmail, Outlook et Yahoo considèrent vos emails comme non authentifiés, et depuis 2024 Gmail et Yahoo rejettent les envois en volume qui ne les ont pas.
L'outil lit l'enregistrement SPF du domaine, l'enregistrement DMARC sur _dmarc.<domaine>, et teste 30 sélecteurs DKIM courants (default, google, selector1, selector2, k1, s1, mailgun, sendgrid et d'autres) sur <sélecteur>._domainkey.<domaine>.
Comment lire le score
Le score est sur 100. Un SPF valide vaut 30 points et une clé DKIM sur l'un des sélecteurs testés 30 de plus. DMARC vaut jusqu'à 40 points selon sa politique : 40 pour p=reject, 30 pour p=quarantine, 15 pour p=none.
Les alertes expliquent ce qui nuit à la délivrabilité : un SPF terminé par +all (n'importe qui peut envoyer en votre nom), plus de 10 requêtes DNS dans le SPF (les serveurs arrêtent de l'évaluer et le traitent comme une erreur), une politique DMARC restée à p=none, ou aucune adresse rua= pour recevoir les rapports.
Corriger les problèmes les plus fréquents
SPF manquant : publiez un seul enregistrement TXT commençant par v=spf1, qui liste chaque service envoyant en votre nom, terminé par ~all pendant les tests puis -all une fois sûr. Un domaine n'a droit qu'à un seul SPF : deux enregistrements sont une erreur, pas une fusion.
DMARC manquant : commencez par v=DMARC1; p=none; rua=mailto:vous@votredomaine pour recevoir les rapports sans toucher à la délivrabilité, puis passez à p=quarantine et p=reject quand les rapports ne montrent plus que des expéditeurs légitimes.
Questions fréquentes
Pourquoi aucun sélecteur DKIM n'est trouvé alors que DKIM est configuré ?
Les clés DKIM sont publiées sous un nom de sélecteur choisi par votre fournisseur, et le DNS ne permet pas de les lister. L'outil teste les 30 noms les plus courants. Si votre fournisseur en utilise un autre, la clé existe mais n'est pas trouvée ici. Le sélecteur figure dans les réglages DKIM de votre fournisseur ou dans l'en-tête DKIM-Signature (s=) d'un email envoyé.
Quelle différence entre ~all et -all dans un SPF ?
~all est un softfail : les emails des serveurs non listés sont acceptés mais signalés comme suspects. -all est un échec strict : ils doivent être rejetés. Utilisez ~all le temps de recenser vos expéditeurs, puis passez à -all.
Quelle politique DMARC choisir ?
p=none se contente de surveiller, p=quarantine envoie les emails en échec dans les spams et p=reject les bloque. Commencez par p=none avec une adresse rua=, lisez les rapports quelques semaines, puis passez à quarantine et reject.
Pourquoi mon SPF échoue-t-il avec trop de requêtes DNS ?
Le SPF autorise au plus 10 requêtes DNS, et chaque mécanisme include:, a, mx, ptr et exists compte, y compris ceux des enregistrements inclus. Retirez les services que vous n'utilisez plus, ou remplacez certains include par les plages ip4: et ip6: correspondantes.