hollop.net

Vérificateur SPF, DMARC et DKIM

Vérifiez si votre domaine est correctement configuré pour l’envoi d’e-mails et créez les enregistrements DNS adaptés, avec des explications claires plutôt que du jargon.

Générateurs exécutés dans le navigateurSuit les includes SPF imbriquésGratuit, sans inscription
Indiquer des sélecteurs DKIM

Sans indication, les sélecteurs courants sont testés. Le bon figure dans l’en-tête d’un e-mail envoyé, sous DKIM-Signature à s=.

Domaines à essayer:

Saisissez un domaine et cliquez sur « Vérifier ».

Pour la vérification, hollop.net interroge les enregistrements DNS publics du domaine. Rien n’est conservé.

Comprendre SPF, DKIM et DMARC

Depuis que Google, Yahoo et Microsoft ont durci leurs exigences envers les expéditeurs, les e-mails sans enregistrements SPF, DKIM et DMARC corrects finissent vite en spam ou sont refusés. Les trois mécanismes fonctionnent ensemble et sont publiés sous forme d’enregistrements TXT dans le DNS du domaine expéditeur.

SPF : qui peut envoyer pour le domaine ?

L’enregistrement SPF (Sender Policy Framework) du domaine liste les serveurs autorisés à envoyer pour lui. Le destinataire compare l’adresse IP du serveur expéditeur à cette liste.

exemple.fr.  TXT  "v=spf1 mx include:spf.protection.outlook.com ~all"

DKIM : le message est-il intact ?

Avec DKIM (DomainKeys Identified Mail), le serveur signe chaque e-mail sortant avec une clé privée. La clé publique correspondante est publiée sous selecteur._domainkey.exemple.fr. Les sélecteurs permettent d’utiliser plusieurs clés en parallèle, par exemple une par service. Les clés RSA de 2048 bits sont recommandées.

DMARC : que se passe-t-il en cas d’échec ?

DMARC relie SPF et DKIM à l’adresse d’expéditeur visible et définit le sort des messages qui ne passent aucune des deux vérifications alignées sur le domaine expéditeur. L’enregistrement se trouve sous _dmarc.exemple.fr.

_dmarc.exemple.fr.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@exemple.fr"

Ordre recommandé

  1. Configurer SPF avec tous les canaux d’envoi légitimes et ~all.
  2. Activer DKIM pour chaque service qui envoie en votre nom.
  3. Démarrer DMARC avec p=none et rua, puis analyser les rapports quelques semaines.
  4. Quand tous les e-mails légitimes passent, passer à p=quarantine puis à p=reject.

Protéger les domaines qui n’envoient pas d’e-mails

Les domaines qui n’envoient jamais d’e-mails doivent aussi être protégés : v=spf1 -all en SPF, v=DMARC1; p=reject en DMARC et éventuellement un MX nul (MX 0 .).

FAQ

Pourquoi mes e-mails arrivent-ils en spam malgré SPF ?

SPF seul ne suffit plus aux grands fournisseurs. Gmail, Yahoo et Outlook attendent aussi une signature DKIM valide et un enregistrement DMARC. SPF ou DKIM doit en outre correspondre au domaine de l’adresse d’expéditeur visible.

Que signifie « too many DNS lookups » pour SPF ?

Un enregistrement SPF peut déclencher au plus 10 requêtes DNS lors de son évaluation, includes imbriqués compris. Au-delà, SPF échoue complètement. Solution : supprimer les includes inutilisés ou indiquer des plages fixes avec ip4/ip6.

Comment trouver mon sélecteur DKIM ?

Ouvrez la source d’un e-mail envoyé via le service et cherchez l’en-tête DKIM-Signature. La valeur après s= est le sélecteur, celle après d= le domaine signataire. Microsoft 365 utilise selector1 et selector2, Google Workspace google par défaut.

Faut-il utiliser -all ou ~all ?

Avec DMARC, ~all suffit généralement, car c’est DMARC qui décide. -all est plus strict et utile si vous connaissez tous vos canaux d’envoi. Pour les domaines sans envoi d’e-mails, utilisez toujours -all.

Mes données sont-elles conservées ?

Non. Les générateurs SPF, DMARC et DKIM fonctionnent entièrement dans votre navigateur ; même la clé privée DKIM n’est créée que là. Pour la vérification, hollop.net interroge des enregistrements DNS publics sans rien conserver.