Vérifier DMARC, SPF et DKIM de votre domaine

La balise p dit aux serveurs de réception quoi faire d'un e-mail qui se présente en votre nom sans passer SPF ni DKIM. p=none : surveillance sans protection, rien n'est bloqué, vous recevez seulement des rapports si une adresse rua est publiée. p=quarantine : le message est mis de côté, en général dans les indésirables. p=reject : le message est refusé. Depuis la RFC 9989 (mai 2026), un enregistrement DMARC sans balise p est appliqué comme p=none. Le chemin habituel : none pour lire les rapports, puis quarantine, puis reject.

Les grands services de messagerie trient d'abord sur l'authentification du domaine expéditeur. Depuis le 1er février 2024, Gmail exige de tout expéditeur un SPF ou un DKIM valide, et les trois enregistrements SPF, DKIM et DMARC au-delà de 5 000 messages par jour, avec un taux de signalement comme spam sous 0,3 % (règles des expéditeurs de Google, lues le 16/10/2026). Sans signature DKIM, vos e-mails sont plus souvent classés en indésirables ; un SPF publié en double ou qui dépasse 10 requêtes DNS est ignoré, comme s'il n'existait pas. Vérifiez d'abord ces trois enregistrements ; le contenu des messages et la réputation du domaine comptent aussi, et cet outil ne les mesure pas.

Aucun des textes cités ici ne l'impose à une entreprise : DMARC est une recommandation (guide de configuration de Cybermalveillance.gouv.fr) et une exigence des services de messagerie. Depuis le 1er février 2024, Google demande SPF, DKIM et DMARC aux expéditeurs de plus de 5 000 messages par jour vers Gmail, et un SPF ou un DKIM à tous les autres. Sans DMARC, n'importe qui peut envoyer une fausse facture en se faisant passer pour vous : c'est la raison de le publier, obligation ou non.

Pas forcément. Une clé DKIM se publie sous un nom choisi par votre fournisseur de messagerie, le sélecteur ; l'outil en essaie 48 courants (google, selector1, selector2, default, ovh, s1-ionos, brevo1, mailjet, protonmail, sendgrid, amazonses…). Un domaine peut en utiliser un autre : ce n'est pas la preuve d'une absence. Pour en avoir le cœur net, ouvrez l'en-tête complet d'un e-mail envoyé depuis votre domaine : la ligne DKIM-Signature contient le sélecteur après « s= ».

SPF (RFC 7208) liste, dans le DNS de votre domaine, les serveurs autorisés à envoyer des e-mails en son nom. DKIM (RFC 6376) signe chaque message avec une clé publiée dans le DNS : le serveur de réception vérifie que le message vient bien de votre domaine et n'a pas été modifié en route. DMARC (RFC 9989) s'appuie sur les deux : il dit quoi faire d'un message qui échoue (none, quarantine ou reject) et où envoyer les rapports. Les trois sont des enregistrements TXT, à publier chez le gestionnaire de votre nom de domaine, avec les valeurs données par votre fournisseur de messagerie.