Mode d’emploi
- Saisissez un domaine, ou collez une adresse email (la partie après @ est utilisée).
- Cliquez sur Rechercher pour voir les résultats MX, SPF, DKIM et DMARC. Si aucune clé DKIM n'est trouvée, saisissez votre sélecteur et relancez la recherche.
- Corrigez les enregistrements chez votre fournisseur DNS comme suggéré, puis vérifiez à nouveau une fois qu'ils sont pris en compte.
Explication des options
- SPF
- Un enregistrement TXT à la racine du domaine commençant par v=spf1 qui liste les serveurs autorisés à envoyer au nom du domaine. Il ne doit y en avoir qu'un seul.
- DMARC
- Un enregistrement TXT à _dmarc commençant par v=DMARC1 qui indique aux destinataires quoi faire quand les vérifications SPF et DKIM échouent.
- Nombre de lookups
- Chaque include, a, mx, ptr, exists et redirect dans SPF coûte un lookup DNS, et le total ne doit pas dépasser 10. Les include et redirect sont développés, donc les lookups imbriqués sont comptés aussi.
Lire les enregistrements
Un enregistrement SPF est une liste de termes. Chaque terme peut commencer par un qualificatif qui indique ce qui se passe lorsqu’il correspond (RFC 7208) :
| Qualificatif | Signification | Exemple |
|---|---|---|
+ (par défaut) |
Pass : réussite | a ou +a |
- |
Fail : rejet | -all |
~ |
Softfail : accepter mais marquer | ~all |
? |
Neutral : aucune déclaration | ?all |
Le vérificateur signale +all (ou un all seul) comme autorisant tous les serveurs à envoyer, ?all comme ne faisant rien contre l’usurpation, et un enregistrement sans all ni redirect= comme inachevé. Il avertit aussi à propos du mécanisme ptr et d’un second enregistrement SPF.
Un enregistrement DMARC est un ensemble de paires tag=value séparées par des points-virgules (RFC 7489) :
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s; pct=100| Balise | Signification |
|---|---|
v |
Version, toujours DMARC1 et en premier dans l’enregistrement |
p |
Politique pour le domaine : none, quarantine ou reject |
sp |
Politique pour les sous-domaines ; si elle est absente, p s’applique |
rua |
Où envoyer les rapports agrégés |
ruf |
Où envoyer les rapports d’échec |
pct |
Part des e-mails en échec à laquelle la politique s’applique ; 100 si absent |
adkim, aspf |
Alignement DKIM et SPF : r relaxed (par défaut) ou s strict |
fo |
Options des rapports d’échec ; 0 si absent |
Un enregistrement DMARC sans rua est signalé car vous ne recevriez aucun rapport. Côté DKIM, une clé RSA de moins de 2048 bits est signalée comme faible, et une clé dont la valeur p= est vide est affichée comme Révoquée.
Questions fréquentes
SPF doit-il se terminer par ~all ou -all ?
-all indique aux destinataires de rejeter les serveurs non listés ; ~all les marque comme suspects. Utilisez ~all jusqu'à être sûr que la liste est complète. Avec DMARC en place, la différence est faible.
Par quelle politique DMARC commencer ?
Commencez par p=none avec une adresse rua, surveillez les rapports pendant une semaine ou deux pour vous assurer que chaque expéditeur légitime passe, puis passez à quarantine et enfin à reject.
Pourquoi aucune clé DKIM n'est-elle trouvée ?
Les clés DKIM se trouvent à sélecteur._domainkey.domaine, et le sélecteur est choisi par votre fournisseur de messagerie. Des sélecteurs courants comme default, selector1, selector2 et google sont testés automatiquement ; sinon, trouvez la valeur s= dans l'en-tête DKIM-Signature d'un message et saisissez-la comme sélecteur DKIM.
Confidentialité
Les fichiers sont envoyés en HTTPS pour être traités, puis supprimés automatiquement dans un délai d’une heure.