What does this checker test?

It reads the public DNS records for your domain: the SPF record, the DMARC record at _dmarc.yourdomain, and the DKIM public key at selector._domainkey.yourdomain. It tells you whether each exists, is valid and has common problems.

What is a DKIM selector and how do I find mine?

A selector is the name your sending service chose for your DKIM key, so one domain can have several keys. You can find it in the s= value of the DKIM-Signature header of any message you sent, or in your sending service's domain settings. Enter it to check that exact key.

Why does the checker say no DKIM key was found when I use DKIM?

Without a selector we can only try a short list of common names, and every service picks its own. A "not found" at those names is not proof that DKIM is missing. Enter your selector for a definite answer.

What does DMARC p=none mean?

p=none is monitoring mode. Receivers take no action on mail that fails DMARC but send reports to the address in rua. It is the recommended starting point; once the reports show every legitimate sender passing, you can move to quarantine and then reject.

Does a passing result mean my email will reach the inbox?

No. These records show that your domain is set up to authenticate. Inbox placement also depends on sender reputation, list quality, complaint rates and content. To see whether one message passed, read the Authentication-Results header of that message.

Do you keep the domains I check?

The lookups run on our servers, and results are held for about five minutes so repeat checks do not repeat the DNS queries. Checks are not tied to an account, and the tool is rate limited to protect the DNS servers it queries.

Vérificateur SPF, DKIM et DMARC : test d'authentification e-mail gratuit

Les trois enregistrements et leur articulation

SPF indique quels serveurs peuvent envoyer pour un domaine. DKIM ajoute une signature cryptographique à chaque message pour que le destinataire puisse vérifier qu'il n'a pas été altéré et qu'il vient bien d'un détenteur de la clé de signature. DMARC relie le tout : il indique aux destinataires que le domaine de l'adresse From visible doit être le même que celui validé par SPF ou DKIM, et quoi faire dans le cas contraire.

Un message réussit DMARC si SPF ou DKIM réussit et est aligné avec le domaine From. Configurer les deux est le choix le plus robuste, car le transfert casse SPF et certains services re-signent ou modifient les messages d'une manière qui affecte DKIM.

Ce que ce contrôle lit

Tout provient du DNS public : vous pouvez donc l'exécuter sur n'importe quel domaine.

SPF : l'enregistrement du domaine, le nombre de recherches DNS et les erreurs listées dans notre vérificateur SPF.
DMARC : l'enregistrement à _dmarc.yourdomain, sa politique (p et sp), le pourcentage, les modes d'alignement et les adresses de rapport, avec une lecture en langage clair de chacun.
DKIM : la clé publique publiée à selector._domainkey.yourdomain. Si vous saisissez le sélecteur, nous vérifions celui-là ; sinon, nous essayons douze noms de sélecteurs courants.

Trouver votre sélecteur DKIM

Les clés DKIM sont publiées sous un nom que vous choisissez, appelé sélecteur. Le DNS ne permet pas de les lister : le contrôle ne peut donc trouver une clé que s'il connaît le sélecteur. La source fiable est un message réel : ouvrez les en-têtes, trouvez la ligne DKIM-Signature et lisez la valeur s= (et d= pour le domaine signataire). Votre service d'envoi affiche aussi le sélecteur lors de la configuration du domaine.

Si notre contrôle ne trouve aucun des noms courants, cela ne signifie pas que DKIM est absent. Cela signifie que le sélecteur est autre. Saisissez-le et relancez le contrôle.

Comment lire la politique DMARC

Un enregistrement DMARC avec p=none et sans adresse rua ne surveille rien. Si vous ne corrigez qu'une chose, ajoutez une adresse de rapport.

Politique	Effet sur les e-mails en échec	Étape typique
p=none	Livrés normalement. Les rapports sont envoyés à votre adresse rua.	Commencez ici et suivez les rapports.
p=quarantine	Les destinataires doivent les traiter comme suspects, généralement dans le dossier spam.	Pendant que vous finissez de corriger les expéditeurs. Augmentez pct par paliers.
p=reject	Les destinataires doivent les refuser.	L'état final, une fois que chaque expéditeur légitime réussit.

Robustesse de la clé DKIM

Le contrôle lit la taille de la clé dans la clé publique publiée. Les clés RSA de 2048 bits sont la recommandation courante aujourd'hui ; les clés de 1024 bits fonctionnent encore avec la plupart des destinataires mais sont plus faibles, et les clés plus courtes sont jugées peu sûres. Publier une clé de 2048 bits implique que l'enregistrement TXT dépasse 255 caractères et doit donc être stocké en plusieurs chaînes ; la plupart des panneaux DNS le font pour vous.

Pourquoi les expéditeurs en masse ont besoin des trois

Google et Yahoo ont commencé à exiger l'authentification des expéditeurs en masse en 2024 : les expéditeurs de gros volumes doivent disposer de SPF et DKIM et d'un enregistrement DMARC, maintenir de faibles taux de plaintes pour spam et permettre un désabonnement facile. Microsoft a annoncé des exigences comparables pour Outlook.com. Les seuils exacts et leur application sont fixés par chaque fournisseur et ont évolué avec le temps : consultez leurs consignes actuelles pour les expéditeurs plutôt que de vous fier à un chiffre cité ici.

En cas d'échec

Corrigez d'abord SPF (un seul enregistrement, moins de dix recherches), puis publiez la clé DKIM fournie par votre service d'envoi, puis ajoutez DMARC en p=none. Notre guide de correction des échecs SPF, DKIM et DMARC passe en revue chaque message d'erreur. N'oubliez pas que les modifications DNS mettent du temps à se propager : testez à nouveau une fois la durée de vie (TTL) de l'ancien enregistrement écoulée.

Ce que le vérificateur examine

SPF

Trouve l'enregistrement, compte les recherches DNS par rapport à la limite de 10 et signale les doublons, la syntaxe incorrecte et les paramètres risqués.

DKIM

Recherche la clé publique de votre sélecteur, lit sa longueur et signale les clés révoquées, illisibles ou trop courtes ainsi que le mode test.

DMARC

Lit la politique, les adresses de rapport et le pourcentage, et signale les balises invalides, les enregistrements multiples et l'absence de politique.

Prochaines étapes

Chaque problème est accompagné d'une correction en langage clair, et les guides ci-dessous couvrent la configuration complète.

Questions fréquentes

Que teste ce vérificateur ?

Il lit les enregistrements DNS publics de votre domaine : l'enregistrement SPF, l'enregistrement DMARC à _dmarc.yourdomain et la clé publique DKIM à selector._domainkey.yourdomain. Il vous indique si chacun existe, s'il est valide et s'il présente des problèmes courants.

Qu'est-ce qu'un sélecteur DKIM et comment trouver le mien ?

Un sélecteur est le nom que votre service d'envoi a choisi pour votre clé DKIM, ce qui permet à un même domaine d'avoir plusieurs clés. Vous le trouvez dans la valeur s= de l'en-tête DKIM-Signature de n'importe quel message envoyé, ou dans les paramètres de domaine de votre service d'envoi. Saisissez-le pour vérifier précisément cette clé.

Pourquoi le vérificateur indique-t-il qu'aucune clé DKIM n'a été trouvée alors que j'utilise DKIM ?

Sans sélecteur, nous ne pouvons essayer qu'une courte liste de noms courants, et chaque service choisit le sien. Un « introuvable » sur ces noms ne prouve pas que DKIM est absent. Saisissez votre sélecteur pour une réponse définitive.

Que signifie DMARC p=none ?

p=none est le mode surveillance. Les destinataires n'agissent pas sur les e-mails qui échouent à DMARC mais envoient des rapports à l'adresse indiquée dans rua. C'est le point de départ recommandé ; une fois que les rapports montrent que chaque expéditeur légitime réussit, vous pouvez passer à quarantine puis à reject.

Un résultat positif signifie-t-il que mon e-mail arrivera en boîte de réception ?

Non. Ces enregistrements montrent que votre domaine est configuré pour s'authentifier. Le placement en boîte de réception dépend aussi de la réputation de l'expéditeur, de la qualité de la liste, des taux de plaintes et du contenu. Pour savoir si un message a réussi, lisez l'en-tête Authentication-Results de ce message.

Conservez-vous les domaines que je vérifie ?

Les recherches s'exécutent sur nos serveurs, et les résultats sont conservés environ cinq minutes afin que les contrôles répétés ne refassent pas les requêtes DNS. Les contrôles ne sont liés à aucun compte, et l'outil est soumis à une limitation de débit pour protéger les serveurs DNS interrogés.

Vérificateur SPF, DKIM et DMARC