Outil gratuit
SPF, DKIM et DMARC : vos e-mails arrivent-ils ?
Saisissez un domaine. Nous lisons ses enregistrements SPF, DKIM et DMARC ainsi que ses enregistrements MX dans le DNS, les vérifions comme le font les serveurs de réception, et vous disons clairement ce qui manque ou ce qui est faux, avec des exemples d'enregistrements à reprendre dans votre DNS. Aucune connexion à votre serveur mail, rien n'est enregistré.
Ce que signifient les résultats
- SPF
- Un enregistrement TXT qui liste les serveurs autorisés à envoyer des e-mails pour votre domaine. Les destinataires y comparent le serveur qui se connecte. Limites : un seul enregistrement, au plus 10 lookups DNS et un ~all ou -all final. SPF seul échoue en cas de transfert, c'est pourquoi DKIM existe.
- DKIM
- Votre serveur mail signe chaque message avec une clé privée ; la clé publique est publiée sous selecteur._domainkey.votredomaine dans le DNS. Les destinataires vérifient la signature, qui résiste aux transferts. Utilisez des clés RSA de 2048 bits et changez-les de temps en temps.
- DMARC
- Un enregistrement TXT sous _dmarc.votredomaine qui dit aux destinataires quoi faire quand SPF et DKIM échouent (none, quarantine, reject) et où envoyer les rapports. L'alignement signifie que le domaine de l'en-tête From doit correspondre au domaine SPF ou DKIM. Commencez par p=none, lisez les rapports, puis resserrez.
- MX
- Les serveurs qui reçoivent les e-mails du domaine. Pas nécessaires pour envoyer, mais les grands destinataires se méfient des domaines sans enregistrements MX, et sans eux les réponses reviennent en erreur.
- Pourquoi c'est important
- Les grands fournisseurs de messagerie exigent SPF ou DKIM de tout le monde et DMARC des expéditeurs en masse ; sans cela, les e-mails finissent en spam ou sont rejetés. Les mêmes enregistrements empêchent d'autres d'envoyer des e-mails de phishing en votre nom.
- Pour que cela dure
- Les enregistrements changent quand vous ajoutez un outil de newsletter, changez d'hébergeur ou renouvelez des clés. Centoculus vérifie régulièrement SPF, DKIM, DMARC, MTA-STS et DNSSEC de votre domaine et vous alerte dès que quelque chose change ; la vérification de distribution des e-mails envoie en plus un message de test et vous dit où il est arrivé.
Vous voulez que ce soit vérifié automatiquement, avec une alerte dès que quelque chose cloche ?
Avec l'offre gratuite, Centoculus vérifie votre site web à intervalles réguliers et vous prévient par e-mail et dans l'app avant que vos clients ne remarquent quoi que ce soit. Moniteurs de sites web et vérifications SSL inclus, gratuitement, usage professionnel autorisé ; les limites de l'offre gratuite sont indiquées sur la page Tarifs. Les inscriptions ouvrent bientôt : obtenez un accès anticipé et vous serez parmi les premiers.
Obtenir un accès anticipéQuestions sur SPF, DKIM et DMARC
Quelle est la différence entre SPF, DKIM et DMARC ?
SPF dit quels serveurs ont le droit d'envoyer pour votre domaine. DKIM prouve par une signature qu'un message n'a pas été modifié et vient bien de votre serveur. DMARC relie les deux à l'adresse d'expéditeur visible et dit aux destinataires quoi faire en cas d'échec. Il vous faut les trois.
Qu'est-ce qu'un sélecteur DKIM, et où le trouver ?
Le sélecteur nomme la clé dans le DNS : selecteur._domainkey.votredomaine. Votre fournisseur de messagerie vous donne le nom lors de la configuration de DKIM (Google utilise « google », Microsoft 365 « selector1 » et « selector2 »). Vous pouvez aussi le lire dans l'en-tête DKIM-Signature de n'importe quel e-mail envoyé : le champ s=.
Pourquoi SPF limite-t-il à 10 lookups ?
Chaque include, a, mx, ptr, exists et redirect oblige le destinataire à interroger le DNS. Le standard plafonne à 10 par vérification pour éviter les abus. Au-delà, le destinataire renvoie une erreur permanente, que la plupart considèrent comme un échec. Les fournisseurs qui ont besoin de nombreux lookups proposent un include aplati.
Dois-je utiliser ~all ou -all ?
-all dit aux destinataires de rejeter les e-mails venant d'autres serveurs, ~all de les traiter comme suspects. Avec DMARC en quarantine ou reject, la différence est faible, car c'est DMARC qui décide. Commencez par ~all tant que vous n'êtes pas sûr d'avoir listé chaque expéditeur, puis passez à -all.
Par quelle politique DMARC commencer ?
Par p=none avec une adresse rua. Lisez les rapports pendant quelques semaines, ajoutez chaque expéditeur légitime à SPF et DKIM, puis passez à p=quarantine et enfin à p=reject. Sauter directement à reject bloque le plus souvent un outil de newsletter ou un CRM auquel personne n'avait pensé.
Combien de temps avant que les changements DNS prennent effet ?
En général quelques minutes, au plus le TTL de l'ancien enregistrement (souvent jusqu'à 24 heures). Relancez la vérification après le changement ; elle relit le DNS à chaque fois.
Mes enregistrements sont corrects, mais mes e-mails finissent quand même en spam.
L'authentification n'est que le ticket d'entrée. Le contenu, la qualité de la liste, le taux de plaintes et la réputation de l'IP d'envoi comptent aussi. Vérifiez si l'IP d'envoi figure sur une liste de blocage et si le DNS inverse correspond au nom du serveur mail.