Outil gratuit

Votre domaine est-il protégé contre l'usurpation d'email ?

Vérifiez en quelques secondes si SPF, DKIM et DMARC sont bien configurés sur votre domaine d'envoi.

Vérification anonyme, sans compte, limitée à 10 par minute.

Ce que vérifie ce test SPF, DKIM et DMARC

Ce test interroge le DNS public de votre domaine, comme le fait un serveur de messagerie qui reçoit l'un de vos emails. Il cherche un enregistrement SPF, un enregistrement DMARC et une signature DKIM sur les sélecteurs les plus courants. Rien n'est envoyé, aucune connexion à votre messagerie n'est nécessaire et il n'y a pas de compte à créer.

Le résultat se lit en trois niveaux : domaine bien protégé, protection partielle ou domaine vulnérable. Chaque protocole a sa carte, avec ce qui a été trouvé.

Un conseil de terrain : refaites le test après chaque modification de votre zone DNS, mais laissez d'abord passer la propagation. Selon l'hébergeur, elle va de quelques minutes à 48 heures.

SPF : la liste des serveurs autorisés à envoyer pour vous

Le SPF est un enregistrement TXT placé à la racine de votre domaine. Il dit aux serveurs qui reçoivent vos messages quels serveurs ont le droit d'envoyer au nom de votre domaine. Un message qui arrive d'un serveur absent de la liste devient suspect.

Trois règles évitent la plupart des pannes. Un domaine n'a qu'un seul enregistrement SPF : si vous ajoutez un outil d'envoi, ajoutez son include dans la ligne existante au lieu de créer une deuxième ligne, sinon le SPF échoue. Le nombre de recherches DNS d'un SPF est limité à 10, include imbriqués compris. Enfin, la fin de la ligne compte : ~all (échec doux) signale les expéditeurs inconnus comme suspects, -all (échec strict) demande de les refuser.

Exemple avec une messagerie OVHcloud

TXT v=spf1 include:mx.ovh.com ~all

DKIM : la signature qui prouve que le message vient de vous

Le DKIM ajoute à chaque email une signature cryptographique. Le serveur qui reçoit le message va chercher la clé publique dans votre DNS, à l'adresse sélecteur._domainkey.votredomaine. Si la signature correspond, le message vient bien de votre domaine et n'a pas été modifié en route.

Le sélecteur est le nom que votre hébergeur a donné à la clé : google, selector1, un nom généré... Ce test essaie les sélecteurs courants (default, selector1, selector2, google, k1, k2, k3, mandrill, mailgun, sendgrid, purelymail). Les sélecteurs propres à certains hébergeurs (ceux d'OVHcloud, qui contiennent un numéro de compte, ou gm1 chez Gandi) n'en font pas partie : le résultat dira « Non détecté » alors que le DKIM peut être actif. Ce n'est pas la preuve d'une absence. Côté taille de clé, 1024 bits est le minimum et 2048 bits est recommandé.

DMARC : ce que le destinataire doit faire quand SPF et DKIM échouent

Le DMARC relie SPF et DKIM au domaine affiché dans le champ De (From) et donne la conduite à tenir en cas d'échec. Pour passer, un message doit réussir SPF ou DKIM avec un domaine aligné sur celui du champ De. L'alignement relâché accepte un sous-domaine du même domaine, l'alignement strict exige le même domaine.

La politique p a trois valeurs : none (on observe, on ne bloque rien), quarantine (les messages en échec vont en spam) et reject (ils sont refusés). Ajoutez toujours une adresse rua : vous recevez des rapports qui montrent qui envoie en votre nom.

La bonne méthode : commencer par p=none avec une adresse de rapports, lire ces rapports quelques semaines, corriger les envois légitimes qui échouent, puis passer à quarantine et enfin à reject. Passer directement à reject est la façon classique de bloquer ses propres emails.

Exemple d'enregistrement DMARC de départ

TXT _dmarc v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

Ce que Google, Yahoo et Outlook exigent des expéditeurs

Les grandes messageries ont durci leurs règles. Elles visent surtout les gros volumes, mais certaines s'appliquent à tout le monde.

  • Google (Gmail) : depuis février 2024, tout expéditeur doit avoir SPF ou DKIM et garder son taux de spam sous 0,3 % dans Postmaster Tools. À partir de 5 000 messages par jour vers des comptes Gmail, il faut SPF, DKIM et DMARC, un domaine du champ De aligné, un désabonnement en un clic pour les messages marketing et un taux de spam sous 0,10 %. Un expéditeur qui atteint ce seuil une fois est considéré comme gros expéditeur de façon permanente, et Google durcit l'application depuis novembre 2025, avec des rejets temporaires puis définitifs.
  • Yahoo : SPF et DKIM (clé de 1024 bits au minimum), un DMARC publié avec au moins p=none, un domaine aligné, le désabonnement en un clic pour le marketing et un taux de plainte sous 0,3 %. Yahoo ne publie pas de seuil de volume.
  • Outlook.com, Hotmail et Live : depuis le 5 mai 2025, les domaines qui envoient 5 000 messages ou plus par jour doivent réussir SPF et DKIM et publier un DMARC. Un message non conforme est refusé avec l'erreur 550 5.7.515.

En pratique : avec 50 emails par jour, vous n'êtes pas un gros expéditeur, mais Google exige déjà SPF ou DKIM de tout le monde, et un DMARC est le minimum raisonnable. Si votre volume grossit, autant être en règle avant.

Comment lire le résultat du test

  • Domaine vulnérable : le DMARC est absent ou en simple surveillance (p=none). Rien n'empêche alors quelqu'un d'envoyer des emails en se faisant passer pour vous. Publiez d'abord SPF et DKIM, puis un DMARC en p=none, et durcissez ensuite.
  • Protection partielle : le DMARC est en quarantaine ou en rejet, mais aucune signature DKIM n'a été détectée sur les sélecteurs courants. Vérifiez chez votre hébergeur si le DKIM est actif : c'est souvent un sélecteur que le test ne connaît pas.
  • Domaine bien protégé : DMARC en quarantaine ou en rejet et DKIM détecté. Surveillez vos rapports DMARC et contrôlez de temps en temps qu'il reste un seul enregistrement SPF.

Le SPF a sa propre carte : il n'entre pas dans le verdict, mais un SPF absent ou en double reste à corriger.

Configurer SPF, DKIM et DMARC chez votre hébergeur

Les menus changent d'un hébergeur à l'autre. Choisissez le vôtre pour obtenir les chemins exacts et les valeurs à saisir, relevés dans la documentation officielle.

Pour aller plus loin

Questions fréquentes sur le test SPF, DKIM et DMARC

Comment tester son SPF gratuitement ?

Saisissez votre domaine dans l'outil en haut de cette page : il lit votre enregistrement SPF dans le DNS et vous dit s'il est présent. Vous pouvez aussi l'afficher vous-même en interrogeant les enregistrements TXT du domaine et en repérant la ligne qui commence par v=spf1.

Quelle différence entre SPF, DKIM et DMARC ?

Le SPF liste les serveurs autorisés à envoyer pour votre domaine. Le DKIM signe chaque message pour prouver son origine et son intégrité. Le DMARC relie les deux au domaine visible dans le champ De et dit au destinataire quoi faire en cas d'échec.

Mon SPF est valide mais mes emails vont en spam, pourquoi ?

Le SPF seul ne suffit pas. Les messageries regardent aussi le DKIM, le DMARC, l'alignement avec le domaine du champ De, la réputation du domaine et de l'adresse IP, le volume et le contenu. Un SPF valide est une condition nécessaire, pas suffisante.

Combien de temps faut-il attendre après avoir modifié le DNS ?

De quelques minutes à 48 heures selon l'hébergeur et la durée de vie (TTL) de l'ancien enregistrement. Refaites le test une fois ce délai passé plutôt que de modifier plusieurs fois de suite.

Faut-il mettre DMARC en reject tout de suite ?

Non. Commencez par p=none avec une adresse de rapports, lisez les rapports, corrigez les envois légitimes qui échouent, puis passez à quarantine et à reject. Passer directement à reject peut faire rejeter vos propres emails.

J'utilise plusieurs outils d'envoi : comment faire avec un seul SPF ?

Regroupez tout dans une seule ligne : v=spf1 suivi de l'include de chaque service, puis ~all ou -all. Deux lignes v=spf1 sur le même domaine font échouer le SPF, et le total est limité à 10 recherches DNS.

Le test peut-il dire que le DKIM est absent alors qu'il est actif ?

Oui. Le test essaie des sélecteurs courants. Si votre hébergeur utilise un sélecteur différent, il affiche « Non détecté ». Vérifiez dans l'interface de votre hébergeur, ou regardez l'en-tête d'un email reçu : la ligne DKIM-Signature indique le sélecteur après s=.

Les petits volumes sont-ils concernés par ces règles ?

Oui pour une partie : Google demande SPF ou DKIM à tous les expéditeurs vers Gmail, et un taux de spam sous 0,3 %. Les exigences les plus lourdes (SPF, DKIM et DMARC, désabonnement en un clic) s'appliquent à partir de 5 000 messages par jour vers Gmail.