Saisissez un domaine ou une adresse e-mail. Nous interrogeons le DNS public, lisons vos enregistrements SPF, DKIM, DMARC, BIMI, MX et MTA-STS, interrogeons six listes de blocage, et vous rendons un rapport qui dit ce qui manque et ce qu’il faut faire. Cela prend une à trois secondes, ne demande aucune inscription, et n’envoie aucun message à votre domaine.
…
Trois enregistrements, trois tâches
Les trois enregistrements dont tout le monde parle ne font pas la même chose. Ils se complètent, et aucun ne remplace les deux autres.
SPF dit qui a le droit
Une liste, publiée dans votre DNS, des serveurs autorisés à envoyer du courrier en votre nom. Le destinataire compare l’expéditeur réel à cette liste. Son défaut le plus fréquent ne se voit pas : au-delà de dix requêtes DNS, l’enregistrement est ignoré entièrement.
DKIM prouve qui a écrit
Une signature apposée sur chaque message, vérifiable grâce à une clé publiée dans votre DNS. Elle prouve l’origine et l’intégrité du message, et elle survit aux transferts – ce que SPF ne fait pas.
DMARC dit ce qu’il faut faire
La consigne donnée aux destinataires pour les messages qui échouent : observer, mettre de côté, ou refuser. C’est aussi le seul des trois qui vous renvoie des rapports sur ce qui est envoyé en votre nom.
Les cas que l’on comprend mal, encore et toujours
DMARC resté sur p=none
C’est le constat le plus fréquent que nous rendons. L’enregistrement existe, il est correct, et il ne protège de rien : p=none demande aux destinataires d’observer, pas d’agir. Un faux message à l’en-tête de votre entreprise arrive exactement comme avant. C’est un point de départ raisonnable, à condition d’en partir. Nous voyons des domaines qui y stationnent depuis quatre ans.
L’enregistrement SPF tombé en panne sans bruit
SPF ne peut déclencher que dix requêtes DNS. Chaque service d’envoi que vous ajoutez en consomme une, parfois deux. Au-delà, le résultat n’est pas dégradé, il est nul : les destinataires traitent votre domaine comme s’il n’avait pas de SPF. Rien dans la ligne elle-même ne l’annonce, et le seuil peut être franchi sans que vous ayez rien touché – il suffit qu’un de vos prestataires allonge sa propre liste.
Le logo qui n’apparaît pas
BIMI affiche votre logo à côté de vos messages, chez les messageries qui participent. Beaucoup d’entreprises font faire le fichier SVG, publient l’enregistrement, et ne voient jamais rien. Deux raisons, presque toujours : leur DMARC n’est pas encore appliqué – condition d’entrée non négociable – ou il manque le certificat de marque qu’exigent Gmail et Apple Mail.
Les rapports qui n’arrivent jamais
Vous avez publié une adresse rua dans votre DMARC et vous ne recevez rien. Si cette adresse est sur un autre domaine que celui vérifié, ce domaine doit publier une autorisation explicite ; sans elle, les opérateurs écartent les rapports. L’enregistrement paraît impeccable et le robinet est fermé.
Le domaine sans boîtes aux lettres
Les variantes d’écriture, les extensions réservées, les anciens noms de produits : aucun n’a de boîte, tous portent un nom crédible, et presque aucun n’a d’enregistrement SPF ou DMARC. Ce sont des adresses d’expédition toutes prêtes pour quelqu’un d’autre. Trois lignes suffisent à les fermer : MX 0 ., v=spf1 -all, et DMARC en p=reject.
Ce que ce test ne peut pas faire
Nous préférons le dire clairement plutôt que laisser un silence passer pour un résultat favorable.
- DKIM ne se devine pas. Le DNS n’indique nulle part quel sélecteur un domaine utilise ; on ne peut qu’essayer des noms connus. « Aucune clé trouvée » ne signifie donc pas « pas de DKIM ». Le champ « sélecteur » du formulaire, ou les en-têtes d’un vrai message, lèvent l’ambiguïté.
- STARTTLS et les certificats des serveurs ne sont pas mesurés. Le trafic SMTP sortant est bloqué depuis notre serveur de test. Le rapport indique « non mesurable » plutôt que de laisser croire que tout va bien.
- Spamhaus n’est pas interrogé. Sa zone publique refuse les requêtes venues d’un centre de données sans clé d’accès, et compter ce refus comme un résultat serait faux. Six autres listes sont interrogées.
- Une mesure porte sur un instant, et vue de l’extérieur. Nous lisons ce que le DNS public répond maintenant. Ce que fait réellement votre serveur au moment d’envoyer, nous ne le voyons pas.
Chaque sujet expliqué séparément
Le rapport renvoie, pour chaque constat, au passage exact de la page qui l’explique. Vous pouvez aussi les parcourir directement : chacune décrit ce que l’enregistrement contient, ce qui casse en pratique, et le chemin à suivre chez les hébergeurs courants en France, en Belgique et en Suisse romande.
SPF
La liste des serveurs autorisés à écrire en votre nom – et la limite de dix requêtes qui la fait échouer sans bruit.
Lire la suite →DKIM
La signature qui survit au transfert – et pourquoi « aucune clé trouvée » ne veut pas dire « pas de DKIM ».
Lire la suite →DMARC
Le seul des trois enregistrements qui dise quoi faire d’un faux message – et qui vous en rende compte.
Lire la suite →BIMI
Un logo à côté de l’expéditeur – à condition que DMARC soit appliqué, que le SVG soit au bon profil et que le certificat tienne.
Lire la suite →Réception
Où arrive le courrier adressé à votre domaine – et que déclarer quand il ne doit arriver nulle part.
Lire la suite →Listes de blocage
Six listes interrogées, ce qu’un signalement veut dire, et comment obtenir un retrait sans y revenir tous les mois.
Lire la suite →Chiffrement
Exiger que le courrier entrant arrive chiffré – et savoir quand ce n’est pas le cas.
Lire la suite →Questions fréquentes
La vérification envoie-t-elle un message à mon domaine ?
Non. Nous interrogeons uniquement le DNS public et, pour BIMI, deux fichiers en HTTPS sur votre propre serveur. Aucun message n’est envoyé, rien n’est remis à votre domaine, et aucune boîte n’est sollicitée.
Que conservez-vous ?
Le rapport lui-même, qui expire au bout de 24 heures. Si vous collez des en-têtes de message pour préciser le sélecteur DKIM, ce texte sert à cette seule vérification et n’est pas conservé. Trois vérifications par jour sont gratuites.
Par où commencer si tout est à faire ?
Dans cet ordre : SPF d’abord, parce qu’il est le plus simple et qu’il ne casse rien. DKIM ensuite, qui s’active en général en deux clics chez votre hébergeur. DMARC enfin, en commençant par p=none avec une adresse de rapports, puis en durcissant. BIMI ne se pose qu’une fois les trois premiers en place.
Combien de temps avant que mes corrections soient visibles ?
Quelques minutes à quelques heures, selon la durée de vie que votre hébergeur donne aux entrées DNS. Relancez la vérification une heure après avoir publié ; si l’ancienne valeur apparaît encore, c’est une question de cache, pas d’erreur.
Mon hébergeur n’est pas dans vos tableaux. Est-ce un problème ?
Non. Les tableaux couvrent les hébergeurs les plus répandus sur le marché francophone, mais les enregistrements sont identiques partout : ce sont des entrées DNS normalisées. Cherchez dans votre panneau « zone DNS » ou « gestion DNS », et publiez les mêmes valeurs.