Vérificateur SPF et DMARC : tester les enregistrements mail

Mode d'emploi

Saisissez votre domaine dans Domaine, par exemple example.com.
Si vous le connaissez, ajoutez le Sélecteur DKIM d'un message signé, comme google ou selector1. Laissez-le vide sinon.
Appuyez sur Vérifier le domaine. Dans Enregistrement SPF, le compte des Requêtes DNS doit rester à 10 ou moins.
Lisez Politique DMARC. none ne fait que surveiller ; quarantine et reject agissent sur le courrier en échec.

Ce que vérifie SPF

SPF (RFC 7208) liste les serveurs qui peuvent envoyer du courrier pour un domaine, dans un enregistrement TXT. Un destinataire prend le domaine de l'expéditeur, lit son enregistrement SPF et compare le serveur d'envoi à chaque terme, de gauche à droite. Le premier terme qui correspond décide du résultat, selon son qualificatif : + réussit (valeur par défaut quand rien n'est écrit), - échoue, ~ est un échec souple et ? est neutre.

include, a, mx, ptr, exists et redirect coûtent chacun une requête DNS, et les requêtes des enregistrements inclus comptent aussi. Les destinataires s'arrêtent après 10 et considèrent le résultat comme une erreur ; une grosse infrastructure de messagerie peut donc casser SPF sans que personne ne le remarque.
ip4 et ip6 ne coûtent aucune requête. Un fournisseur qui publie ses plages d'adresses peut être écrit avec elles.
Deux enregistrements SPF sur un même nom sont une erreur (RFC 7208, section 4.5), et ptr est déconseillé (section 5.5).

Ce que fait DMARC

DMARC (RFC 7489) indique aux destinataires quoi faire du courrier qui échoue aux contrôles de votre domaine, et où envoyer les rapports. C'est un enregistrement TXT placé sur _dmarc suivi de votre domaine, fait de balises séparées par des points-virgules : p est la politique, sp la politique des sous-domaines, pct la part du courrier en échec à laquelle la politique s'applique, rua l'adresse des rapports globaux, et adkim et aspf l'alignement, r pour souple et s pour strict.

Cet outil lit l'enregistrement placé sur _dmarc suivi du domaine que vous saisissez. Les destinataires qui n'y trouvent rien regardent aussi le domaine de l'organisation, que cet outil ne détermine pas.

Clés DKIM

DKIM signe chaque message avec une clé publiée dans le DNS sous un sélecteur, à l'adresse sélecteur suivi de ._domainkey et de votre domaine (RFC 6376, section 3.6.1). La page lit le type de clé et la taille d'une clé RSA à partir de sa clé publique. Une clé vide signifie que la clé a été révoquée. Les clés Ed25519 (RFC 8463) ont une taille fixe de 256 bits.

Ce que ce vérificateur ne fait pas

Il n'envoie pas de courrier et ne teste pas un vrai message : il ne peut donc pas dire si votre courrier passe.
Il ne développe pas les macros comme %{d}, si bien qu'un enregistrement qui les utilise peut donner un nombre de requêtes différent de celui d'un destinataire.
Il ne détermine pas le domaine de l'organisation pour DMARC, et il ne vérifie pas les requêtes qui ne renvoient rien.

Exemple : les enregistrements SPF et DMARC d'un domaine

L'enregistrement SPF v=spf1 +mx a:colo.example.com/28 -all permet aux serveurs de messagerie du domaine, et aux adresses de colo.example.com dans un réseau /28, d'envoyer son courrier. Tous les autres expéditeurs échouent (-all). L'enregistrement coûte deux requêtes DNS, mx et a.

L'enregistrement DMARC v=DMARC1; p=reject; rua=mailto:[email protected] demande aux destinataires de refuser le courrier qui échoue aux contrôles et d'envoyer les rapports globaux à [email protected].

Contrôle	Résultat
Requêtes DNS dans SPF	2
Politique (p)	reject
Rapports (rua)	[email protected]

Questions fréquentes

Un enregistrement SPF suffit-il pour bloquer le courrier usurpé ?

Non. SPF vérifie le serveur qui a envoyé un message, et non le nom que lit le destinataire dans la ligne From. Associez-le à DKIM et à une politique DMARC au-dessus de p=none.

Pourquoi mon enregistrement SPF échoue-t-il avec trop de requêtes ?

Chaque include, a, mx, ptr, exists et redirect coûte une requête DNS, et les enregistrements auxquels ils mènent comptent aussi. Quand le total dépasse 10, les destinataires considèrent SPF comme en erreur. Retirez les include que vous n'utilisez plus, ou utilisez les plages ip4 et ip6 publiées par votre fournisseur, qui ne coûtent aucune requête.

Quelle politique DMARC utiliser ?

Commencez par p=none avec une adresse rua, lisez les rapports pendant quelques semaines, et vérifiez que votre vrai courrier passe. Passez ensuite à quarantine et, quand les rapports sont propres, à reject.

Qu'est-ce qu'un sélecteur DKIM ?

C'est le nom placé avant ._domainkey dans un enregistrement DKIM. Chaque service d'envoi utilise son propre sélecteur, et un message signé le nomme dans la balise s= de son en-tête DKIM-Signature. Ouvrez les en-têtes d'un message que vous avez envoyé pour le trouver.

Que signifie la taille de la clé ?

Pour une clé RSA, c'est la longueur du module RSA en bits, la façon habituelle d'écrire les tailles de clé : 1024 ou 2048. Si un enregistrement a été coupé ou abîmé à la copie, la clé ne peut pas être lue et la page le signale.

Ce vérificateur envoie-t-il mon domaine à quelqu'un ?

Seuls les noms vérifiés sont envoyés au résolveur DNS que vous choisissez, sous forme de questions DNS. Rien n'est conservé, et le reste de la page reste dans votre navigateur.

Sources

Chiffres et texte vérifiés pour la dernière fois le mardi 10 novembre 2026.