Vérifier SPF, DKIM et DMARC
Saisissez un nom de domaine. Nous lisons ses trois enregistrements d'authentification des emails, suivons la chaîne SPF jusqu'au bout, et vous disons ce qui empêche vos emails d'arriver.
Les trois enregistrements, et ce que chacun prouve
| Enregistrement | Ce qu'il dit | L'erreur la plus courante |
|---|---|---|
| SPF | quels serveurs ont le droit d'envoyer pour le domaine | plus de dix recherches DNS, à force d'ajouter des services d'envoi |
| DKIM | une signature qui prouve que l'email n'a pas été modifié | un service d'envoi ajouté sans publier sa clé |
| DMARC | que faire d'un email qui échoue aux deux, et à qui l'écrire | p=none posé il y a des années et jamais resserré |
Pourquoi c'est devenu obligatoire
Depuis février 2024, Gmail et Yahoo exigent SPF ou DKIM, et DMARC, de tout expéditeur qui envoie en volume ; Microsoft a suivi en 2025. Sans eux, vos emails sont refusés ou classés en spam, y compris vos factures et vos confirmations de commande.
La limite des dix recherches
Chaque include:, a, mx ou redirect= de votre SPF demande une recherche DNS, et chaque include en appelle souvent d'autres. Au-delà de dix, la norme dit que le SPF est en erreur : pour tous vos envois, sans que rien ne casse visiblement. C'est la panne la plus fréquente, et la plus invisible. Cet outil suit la chaîne jusqu'au bout et compte.
DMARC, dans l'ordre
Commencez en p=none avec une adresse rua pour recevoir les rapports, corrigez les services d'envoi qui échouent, passez en p=quarantine, puis en p=reject. Rester en p=none, c'est observer sans jamais protéger.
Ce que cet outil ne fait pas
- Il n'envoie aucun email : il lit le DNS. Pour voir le résultat réel d'un envoi, regardez l'en-tête Authentication-Results d'un email reçu.
- Il ne peut pas prouver l'absence de DKIM : seulement le trouver sous les sélecteurs courants.
- Il ne vérifie pas BIMI ni MTA-STS, qui viennent après une configuration DMARC stricte.
Questions fréquentes
Mes emails arrivent en spam alors que SPF est valide. Pourquoi ?
Parce que SPF seul ne suffit plus : Gmail et Yahoo demandent aussi DKIM et DMARC, et l'alignement entre le domaine de l'expéditeur et celui qui signe. Un service d'envoi (newsletter, facturation) qui signe avec son propre domaine échoue souvent à l'alignement.
Quelle différence entre ~all et -all ?
~all marque comme suspects les emails venus d'ailleurs, -all demande de les refuser. ~all est le réglage courant : DMARC décide ensuite. -all est plus strict, et casse les transferts d'emails.
Faut-il passer DMARC en reject tout de suite ?
Non. Passez d'abord par p=none avec des rapports (rua) pendant quelques semaines, corrigez les services d'envoi qui échouent, puis quarantine, puis reject. Passer en reject trop tôt fait disparaître des emails légitimes.
Les autres outils
Vérifier un certificat SSL
Date d'expiration du certificat, émetteur, et noms réellement couverts.
Vérifier les en-têtes de sécurité
HSTS, CSP, X-Frame-Options et les autres : une note sur 100, avec le barème et les en-têtes bruts.
Ma page peut-elle être indexée ?
Noindex, robots.txt, canonical, code HTTP : ce qui empêche Google et Bing d'indexer une page, moteur par moteur.
Votre site et votre domaine, surveillés
Expansel vérifie votre site et son certificat à intervalle régulier et vous prévient avant l'expiration de votre domaine : les trois pannes qui coupent aussi les emails.