Vérifier SPF, DKIM et DMARC : votre domaine est-il protégé contre l’usurpation ?
Entrez votre nom de domaine : l’outil lit vos enregistrements DNS, vérifie SPF, DKIM et DMARC selon les RFC, compte les consultations DNS de votre SPF, mesure vos clés DKIM, et vous dit en français ce qui manque et dans quel ordre le corriger. Il contrôle aussi vos serveurs de réception, MTA-STS, TLS-RPT et BIMI.
Le vérificateur SPF, DKIM et DMARC de 8TECH contrôle les trois mécanismes qui empêchent l’usurpation d’un domaine de messagerie : l’enregistrement SPF et sa limite de dix consultations DNS, les clés DKIM publiées sous les sélecteurs courants et leur taille, la politique DMARC avec ses rapports et son alignement. Il rend un verdict en trois niveaux, protégé, partiel ou exposé, et la liste ordonnée des corrections.
outil 8TECH · requêtes DNS depuis votre navigateur, rien ne transite par 8TECHLes trois mécanismes, en clair
Déployer DMARC sans bloquer vos propres envois
La méthode que nous appliquons chez nos clients. Un passage direct en reject casse les envois oubliés : facturation, alarmes, imprimantes, outils métier.
| Étape | Enregistrement | Durée | Ce qu’on vérifie |
|---|---|---|---|
| 1. Inventaire | SPF complet, DKIM activé partout | 1 semaine | Tous les outils qui envoient en votre nom sont listés dans SPF et signent en DKIM avec votre domaine |
| 2. Observation | v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr | 2 à 4 semaines | Les rapports ne montrent que des sources légitimes ; les sources inconnues sont identifiées ou abandonnées |
| 3. Quarantaine progressive | p=quarantine; pct=25 puis 100 | 2 à 4 semaines | Aucun envoi légitime ne tombe en indésirable |
| 4. Rejet | p=reject; sp=reject; adkim=s; aspf=s | cible | Les messages frauduleux sont refusés ; les rapports restent surveillés |
Le domaine exemple.fr est un domaine de documentation. Les rapports agrégés arrivent en XML : un outil de lecture, gratuit ou non, rend l’étape 2 supportable.
Les enregistrements types
Pour les deux messageries les plus répandues en PME. Les valeurs exactes se trouvent dans votre console d’administration.
| Messagerie | SPF | DKIM |
|---|---|---|
| Microsoft 365 | v=spf1 include:spf.protection.outlook.com -all | selector1 et selector2, en CNAME vers votre tenant |
| Google Workspace | v=spf1 include:_spf.google.com ~all | google, clé TXT de 2048 bits générée dans la console |
| Domaine sans courrier | v=spf1 -all | aucun ; DMARC p=reject et MX nul |
Chaque outil qui envoie en votre nom ajoute son include au SPF et son sélecteur DKIM. C’est là que la limite des dix consultations se joue.
Questions fréquentes
L’outil a-t-il besoin d’un accès à mon serveur de messagerie ?
Non. Tout ce qu’il vérifie est public : les enregistrements DNS de votre domaine, que n’importe quel destinataire consulte à chaque message reçu. Il ne se connecte ni à votre serveur ni à votre boîte, et ne lit aucun courriel.
Où partent les requêtes DNS ?
De votre navigateur vers le résolveur public de Cloudflare, en HTTPS, puis vers celui de Google s’il ne répond pas. Ces résolveurs ne reçoivent que le nom de domaine testé, comme lors de n’importe quelle navigation. Rien ne transite par les serveurs de 8TECH, qui ne voit pas les domaines que vous vérifiez.
L’outil dit que DKIM est absent alors que ma messagerie signe mes messages. Pourquoi ?
DKIM est publié sous un nom de sélecteur que seul votre fournisseur connaît. L’outil teste vingt et un sélecteurs courants, dont ceux de Microsoft 365, Google Workspace et des principaux outils d’emailing. Si le vôtre est différent, saisissez-le dans le champ prévu ; vous le trouvez dans l’en-tête d’un message envoyé, au tag s= de la signature DKIM.
Mon SPF dépasse dix consultations DNS, que faire ?
Retirer les include des outils que vous n’utilisez plus, remplacer un include par les adresses IP qu’il contient quand elles sont stables, ou déplacer les envois en volume vers un sous-domaine dédié avec son propre SPF. Chaque include, a, mx, ptr, exists et redirect compte, y compris ceux cachés dans les include de vos prestataires.
Peut-on passer DMARC directement en reject ?
Techniquement oui, mais c’est le meilleur moyen de perdre des envois légitimes oubliés : facturation, copieur, alarme, outil métier, site web. La séquence none avec rapports, quarantine, puis reject, prend quelques semaines et évite les surprises. Un domaine qui n’envoie jamais de courrier peut, lui, passer en reject immédiatement.
Pourquoi 8TECH publie-t-elle cet outil ?
Parce que l’usurpation de domaine est la première porte d’entrée des fraudes au virement et au faux fournisseur que nous voyons chez les PME, et que la correction tient dans trois enregistrements DNS. Vérifier son domaine prend trente secondes ; nous préférons que vous le fassiez avant qu’un client reçoive une fausse facture en votre nom.
Sources et références
Ce que cet article affirme et qui ne vient pas de notre pratique vient d'ici. Chaque référence porte son éditeur et sa date.