01Pourquoi vérifier SPF, DKIM et DMARC ?
SPF, DKIM et DMARC sont trois enregistrements DNS qui prouvent aux messageries que vos emails sont légitimes. Sans eux, Gmail, Outlook et les autres n'ont aucun moyen de distinguer vos messages d'une usurpation : vos emails finissent en spam, et n'importe qui peut écrire au nom de votre domaine (phishing, fraude au président…).
Depuis février 2024, Gmail et Yahoo exigent SPF ou DKIM pour tout expéditeur, et les trois (avec DMARC) au-delà de 5 000 emails par jour. Cet outil interroge le DNS en direct via le résolveur 1.1.1.1 et analyse chaque enregistrement — pour aller voir le détail brut, utilisez aussi notre test DNS.
02Comprendre chaque enregistrement
- MX
- Liste les serveurs qui reçoivent les emails du domaine, avec un ordre de priorité. Sans MX, le domaine ne reçoit pas de courrier.
- SPF
- Enregistrement TXT listant les serveurs autorisés à envoyer des emails au nom du domaine. Le destinataire compare l'adresse IP de l'expéditeur à cette liste.
- DKIM
- Signature cryptographique ajoutée à chaque email par le serveur d'envoi. La clé publique, publiée dans le DNS sous un « sélecteur », permet au destinataire de vérifier que le message n'a pas été altéré.
- DMARC
- Politique qui indique quoi faire des emails échouant SPF et DKIM (rien, spam, rejet), et où envoyer les rapports. C'est lui qui bloque réellement l'usurpation du domaine.
03En ligne de commande
L'API JSON renvoie l'analyse complète (statuts, enregistrements bruts, politique DMARC…) avec CORS ouvert — pratique pour un monitoring :
$ curl "its-my-ip.com/api/email?domain=exemple.fr&selector=google" { "spf": { "status": "ok", … }, "dmarc": { "policy": "reject", … }, … }
04Questions fréquentes
Comment trouver mon sélecteur DKIM ?
Envoyez-vous un email depuis votre domaine et affichez son code source (« Afficher l'original » dans Gmail) : dans l'en-tête DKIM-Signature, le sélecteur est la valeur s=. Les plus courants : google (Google Workspace), selector1 et selector2 (Microsoft 365), k1 (Mailchimp), s1 et s2 (SendGrid), dkim (OVH).
Quelle politique DMARC choisir : none, quarantine ou reject ?
Commencez par p=none avec une adresse de rapport (rua=) pour observer pendant quelques semaines qui envoie au nom de votre domaine. Une fois tous vos expéditeurs légitimes alignés (SPF ou DKIM), passez à p=quarantine, puis p=reject pour une protection complète. Passer à reject directement sans analyse risque de bloquer des emails légitimes.
Pourquoi mes emails arrivent en spam alors que SPF est valide ?
SPF seul ne suffit pas : les messageries évaluent aussi DKIM, DMARC, la réputation de l'adresse IP et du domaine d'envoi, le contenu du message et l'engagement des destinataires. Vérifiez aussi l'alignement : le domaine visible dans le champ From doit correspondre à celui validé par SPF ou DKIM, sinon DMARC échoue.
SPF, DKIM et DMARC : faut-il vraiment les trois ?
Oui. SPF valide le serveur d'envoi, DKIM garantit l'intégrité du message, et DMARC s'appuie sur les deux pour dire quoi faire en cas d'échec — sans DMARC, un échec SPF ou DKIM n'a souvent aucune conséquence. Les trois ensemble sont devenus le standard exigé par les grandes messageries.
Qu'est-ce que l'alignement DMARC ?
DMARC ne se contente pas d'un SPF ou DKIM valide : le domaine authentifié doit être aligné avec celui affiché dans le champ From. Pour SPF, c'est le domaine de l'adresse d'enveloppe (Return-Path) ; pour DKIM, le domaine d= de la signature. C'est ce qui empêche un spammeur d'utiliser son propre SPF valide pour usurper votre nom d'affichage.