Pourquoi DMARC échoue-t-il alors que SPF et DKIM réussissent ?

Parce que DMARC exige l'alignement : le domaine ayant réussi SPF ou DKIM doit correspondre au domaine du champ From. Une réussite pour un autre domaine ne sert pas à DMARC.

Que signifie SPF permerror ?

L'enregistrement n'a pas pu être évalué, généralement parce que le domaine possède deux enregistrements SPF ou que l'enregistrement nécessite plus de dix requêtes DNS.

Mon authentification réussit mais mes e-mails arrivent quand même en spam. Pourquoi ?

L'authentification est une condition nécessaire, pas une garantie. La réputation, la qualité de la liste, le contenu et l'engagement comptent aussi.

SPF, DKIM ou DMARC en échec ? Lire et corriger

Q: Où puis-je voir si SPF, DKIM ou DMARC a échoué ?

Ouvrez les en-têtes complets d'un message reçu et repérez l'en-tête Authentication-Results ajouté par le serveur destinataire. Il indique les résultats spf, dkim et dmarc.

En un coup d'œil. Où regarder : en-tête Authentication-Results · SPF permerror : deux enregistrements ou plus de 10 requêtes · Échec DMARC : le plus souvent un problème d'alignement · Outil : analyseur d'en-têtes gratuit

L'essentiel en bref

Trouver les résultats d'authentification. Ouvrez un message que vous avez envoyé et affichez son source original ou ses en-têtes complets.
Ce que signifient les résultats SPF. Pass signifie que l'IP d'envoi figure dans l'enregistrement.
Ce que signifient les résultats DKIM. Pass signifie que la signature correspond à la clé publiée.
Ce que signifient les résultats DMARC. DMARC réussit lorsque SPF ou DKIM réussit et que le domaine concerné est aligné avec le domaine du champ From.
Correction : aucun enregistrement SPF trouvé. Cela signifie que le domaine n'a pas d'enregistrement TXT SPF, ou que la recherche porte sur un nom différent de celui que vous avez publié.
Correction : clé DKIM introuvable ou invalide. Vérifiez le sélecteur dans l'en-tête DKIM-Signature du message, la valeur s=, et confirmez qu'un enregistrement TXT existe à l'adresse selector._domainkey.yourdomain.com.

Trouver les résultats d'authentification

Ouvrez un message que vous avez envoyé et affichez son source original ou ses en-têtes complets. Cherchez l'en-tête Authentication-Results, ajouté par le serveur destinataire. Il indique un résultat pour chaque contrôle, par exemple spf=pass, dkim=pass et dmarc=pass, ainsi que le domaine utilisé par chacun.

Notre analyseur d'en-têtes e-mail gratuit lit ces en-têtes à votre place si le texte brut est difficile à suivre.

Ce que signifient les résultats SPF

Pass signifie que l'IP d'envoi est listée. Fail signifie qu'elle ne l'est pas et que l'enregistrement demande de rejeter le message. Softfail signifie qu'elle n'est pas listée et que l'enregistrement demande de traiter le message avec suspicion. Neutral et none signifient que l'enregistrement ne se prononce pas ou n'existe pas. Temperror est un problème DNS temporaire, et permerror signifie que l'enregistrement est défectueux, par exemple deux enregistrements ou trop de requêtes.

Si vous voyez permerror, corrigez l'enregistrement lui-même. Si vous voyez softfail ou fail pour un service que vous utilisez, c'est que ce service manque dans votre enregistrement.

Ce que signifient les résultats DKIM

Pass signifie que la signature correspond à la clé publiée. Fail signifie qu'elle ne correspond pas. Les causes courantes sont un message modifié après la signature, par exemple par un pied de page ajouté par un autre système, un enregistrement DNS mal copié, ou un sélecteur qui ne correspond pas à celui utilisé par l'expéditeur.

None signifie que le message n'a pas été signé du tout. Vérifiez que DKIM est activé sur le service d'envoi et que votre enregistrement DNS est publié exactement au nom indiqué.

Ce que signifient les résultats DMARC

DMARC réussit lorsque SPF ou DKIM réussit et que le domaine concerné est aligné avec le domaine du champ From. Vous pouvez donc voir spf=pass et dkim=pass et obtenir malgré tout dmarc=fail, parce que les domaines validés appartiennent au service et non à vous.

C'est le cas le plus déroutant. La solution consiste à authentifier votre propre domaine auprès du service d'envoi, afin que sa signature DKIM, et idéalement son chemin de retour, utilisent votre domaine.

Correction : aucun enregistrement SPF trouvé

Cela signifie que le domaine n'a pas d'enregistrement TXT SPF, ou que la recherche porte sur un nom différent de celui que vous avez publié. Vérifiez que l'enregistrement se trouve à la racine du domaine exact indiqué dans le Return-Path, et que vous ne l'avez pas placé sur un sous-domaine par erreur.

N'oubliez pas qu'un e-mail peut provenir d'un sous-domaine, qui a alors besoin de son propre enregistrement. Consultez notre guide SPF pour savoir comment en construire un.

Correction : clé DKIM introuvable ou invalide

Vérifiez le sélecteur dans l'en-tête DKIM-Signature du message, la valeur s=, et confirmez qu'un enregistrement TXT existe à l'adresse selector._domainkey.yourdomain.com. Les clés longues doivent être collées en une seule valeur. Certains panneaux DNS les découpent ou les tronquent : vérifiez donc en interrogeant l'enregistrement après sa publication.

Si vous avez récemment changé de fournisseur ou fait une rotation des clés, un ancien sélecteur peut encore être utilisé. Publiez les nouveaux enregistrements et attendez la propagation DNS avant d'activer la signature.

Correction : DMARC échoue alors que SPF et DKIM réussissent

Comparez le domaine de l'en-tête From avec les domaines qui ont réussi. S'ils diffèrent, l'alignement échoue. Configurez un domaine personnalisé dans votre service d'envoi afin que DKIM signe avec votre domaine.

Si vous ne savez pas quels domaines sont en jeu, les rapports agrégés DMARC les listent par source et vous montreront exactement quels expéditeurs ne sont pas alignés.

Correction : tout réussit mais les e-mails arrivent quand même en spam

L'authentification est une condition nécessaire, pas une garantie. Si tout réussit et que vos e-mails atterrissent quand même en spam, la cause est généralement la réputation, le contenu ou la liste : taux de plaintes élevé, adresses achetées, hausse soudaine du volume ou objet au ton spammy.

Vérifiez vos taux de plaintes et de rebonds, examinez à qui vous écrivez et ralentissez si vous avez récemment augmenté le volume. Nos guides de délivrabilité détaillent ces étapes.

Un ordre de travail serein

Commencez par SPF, car c'est le plus rapide à corriger. Vérifiez ensuite DKIM pour chaque expéditeur. Examinez enfin l'alignement DMARC. Modifiez une seule chose à la fois et testez de nouveau, pour savoir quel changement a fonctionné.

Si vous êtes bloqué, envoyez-nous les en-têtes du message et votre nom de domaine, et nous vous aiderons à trouver quel contrôle échoue et pourquoi.

Exemple d'en-tête

Une ligne de résultat typique se présente ainsi : Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bounce.yourdomain.com; dkim=pass header.d=yourdomain.com; dmarc=pass header.from=yourdomain.com. Chaque élément indique le domaine qui a été vérifié.

Lisez-la de droite à gauche. Le domaine header.from est celui que voit le destinataire. Les domaines dkim header.d et spf smtp.mailfrom sont ceux utilisés par le contrôle. S'ils diffèrent de header.from et n'en sont pas des sous-domaines, attendez-vous à un échec d'alignement.

Pour aller plus loin et sources

Dans MigoSMTP : articles du centre d'aide

Guides et outils associés

Analyseur d'en-têtes e-mail : lisez les résultats d'authentification en langage clair.
Comment créer un enregistrement SPF : syntaxe, exemples et erreurs courantes.
Comment configurer DMARC : commencez avec p=none et passez à reject en toute sécurité.

Vous n'êtes pas sûr de vos enregistrements ? Lancez notre vérificateur gratuit, ou envoyez-nous un en-tête et nous vous aiderons à le lire.

Commencer gratuitement

SPF, DKIM ou DMARC en échec ? Comment lire le résultat et corriger le problème