Email DNS Checker : SPF, DKIM et DMARC
Cet outil gratuit de vérification DNS email recherche les enregistrements MX, l'enregistrement SPF, la politique DMARC et les clés DKIM d'un domaine et évalue chacun : SPF est-il présent exactement une fois et dans la limite de dix lookups, DMARC applique-t-il une politique et collecte-t-il les rapports, un sélecteur DKIM publie-t-il une clé. Chaque défaut s'accompagne de l'enregistrement à ajouter. Utilisez-le quand les emails se retrouvent en spam ou rebondissent.
Email DNS Checker
Domain and Server
À propos de cet outil
Depuis 2024, Gmail, Yahoo et Microsoft exigent que les expéditeurs authentifient les emails avec SPF et DKIM et publient une politique DMARC, et les mails qui échouent sont envoyés en spam ou rejetés. La plupart des petites entreprises découvrent cela quand les devis et factures cessent d'arriver. Les enregistrements vivent dans le DNS, où une typo, un deuxième enregistrement SPF ou un include oublié casse tout silencieusement.
L'outil interroge directement le DNS du domaine. Il liste les enregistrements MX et identifie le fournisseur de messagerie quand c'est possible. Il trouve l'enregistrement TXT commençant par v=spf1, vérifie qu'il n'y en a exactement qu'un, analyse ses mécanismes, compte ceux qui coûtent un lookup DNS par rapport à la limite de dix, et lit le qualificateur all. Il récupère _dmarc.domaine et lit la politique, la politique de sous-domaine, le pourcentage, les adresses de rapport et les paramètres d'alignement. Pour DKIM, il recherche le sélecteur que vous fournissez, ou essaie une liste de sélecteurs courants, et confirme qu'une clé publique est publiée.
Le DNS ne peut montrer que ce qui est publié, pas si votre serveur de messagerie signe réellement avec la clé ou si les adresses dans votre SPF sont vraiment celles qui envoient. Les sélecteurs DKIM sont privés à chaque expéditeur, donc un domaine peut être parfaitement configuré avec un sélecteur que l'outil n'a pas deviné : entrez-le depuis les paramètres de votre fournisseur de messagerie. Une politique DMARC de none satisfait l'exigence de base mais ne protège personne ; l'outil le signale.
Questions fréquentes
Que font SPF, DKIM et DMARC chacun ?
SPF liste les serveurs autorisés à envoyer du courrier pour votre domaine. DKIM ajoute une signature cryptographique à chaque message pour que les destinataires puissent vérifier qu'il n'a pas été altéré et qu'il vient de vous. DMARC dit aux destinataires quoi faire quand les deux échouent (rien, quarantaine ou rejet) et où envoyer les rapports. Vous avez besoin des trois.
Pourquoi plus d'un enregistrement SPF est-il un problème ?
La norme SPF dit qu'un domaine doit avoir exactement un enregistrement commençant par v=spf1 ; les destinataires traitent deux comme une erreur permanente et échouent la vérification. Cela se produit généralement quand un deuxième service ajoute son propre enregistrement au lieu d'être fusionné dans le premier. Combinez chaque include en un seul enregistrement se terminant par ~all ou -all.
Qu'est-ce que la limite de dix lookups SPF ?
Les destinataires arrêtent d'évaluer SPF après dix lookups DNS causés par include, a, mx, ptr, exists et redirect, et retournent une erreur permanente. Chaque include peut entraîner plus de lookups de son côté. Supprimez les services que vous n'utilisez plus, remplacez les includes par des entrées ip4 si possible, ou utilisez un service d'aplatissement SPF.
Quelle politique DMARC dois-je utiliser ?
Commencez par p=none et une adresse rua= pour collecter les rapports pendant quelques semaines, corrigez tout expéditeur légitime qui échoue, puis passez à p=quarantine et enfin p=reject. p=none satisfait l'exigence de Gmail et Yahoo mais n'arrête personne d'usurper votre domaine ; reject est l'objectif.
Comment trouver mon sélecteur DKIM ?
Il se trouve dans les instructions de configuration DNS de votre fournisseur de messagerie : Google Workspace utilise google, Microsoft 365 utilise selector1 et selector2, Zoho et d'autres vous laissent choisir. Vous pouvez aussi ouvrir les en-têtes d'un message envoyé et lire la valeur s= dans la ligne DKIM-Signature. Entrez-le dans le champ sélecteur pour vérifier cette clé exacte.