Validateur SPF, DKIM et DMARC
Analysez la configuration anti-usurpation d'un domaine : validité du SPF (limite des 10 lookups), politique DMARC et clés DKIM des sélecteurs courants.
Comment ça marche
SPF, DKIM et DMARC protègent votre domaine contre l'usurpation d'adresse email. Le SPF (TXT « v=spf1 ») liste les serveurs autorisés à envoyer pour votre domaine ; s'il comporte plus de 10 mécanismes nécessitant une résolution DNS, les serveurs mail le rejettent (permerror). DKIM signe cryptographiquement les messages via une clé publiée dans un TXT « selecteur._domainkey ». DMARC (TXT « _dmarc ») indique quoi faire quand SPF ou DKIM échoue (surveiller, mettre en spam, rejeter).
Une configuration complète combine les trois : SPF en « ~all » ou « -all », DKIM actif chez chaque expéditeur, et DMARC en « p=quarantine » ou « p=reject » pour bloquer réellement l'usurpation.
Exemples
Questions fréquentes
Qu'est-ce que la limite des 10 lookups SPF ?
La RFC 7208 limite à 10 les mécanismes SPF qui déclenchent une résolution DNS (include, a, mx, ptr, exists, redirect). Au-delà, les serveurs retournent « permerror » et rejettent le SPF.
Puis-je avoir plusieurs enregistrements SPF ?
Non : deux TXT commençant par « v=spf1 » provoquent un permerror. Tous les mécanismes doivent tenir dans un seul enregistrement.
À quoi sert DMARC si j'ai déjà SPF et DKIM ?
DMARC indique aux serveurs ce qu'il faut faire des messages non authentifiés et vous envoie des rapports. Sans DMARC, un échec SPF/DKIM n'a souvent aucune conséquence.
Pourquoi aucun sélecteur DKIM n'est détecté ?
Les sélecteurs sont propres à chaque fournisseur (par ex. « s1 » chez un routeur mail, « google » chez Google Workspace). L'outil teste les plus courants ; un sélecteur personnalisé reste possible.
Que signifie p=none ?
Politique de surveillance : DMARC collecte des rapports mais ne bloque rien. C'est l'étape recommandée avant de passer à quarantine puis reject.