Vérification de domaine e-mail : SPF, DKIM, DMARC, MX

Pourquoi vérifier SPF, DKIM et DMARC ?

Gmail, Outlook et Yahoo choisissent entre boîte de réception et spam en partie selon que le domaine expéditeur prouve son identité. Depuis février 2024, Gmail et Yahoo exigent SPF, DKIM et DMARC des expéditeurs en masse. S’il en manque un, vos e-mails risquent davantage d’aller en spam ou d’être refusés, et votre domaine est plus facile à usurper.

Les quatre enregistrements vérifiés

• MX : les serveurs qui reçoivent le courrier du domaine. Sans MX, les réponses ne vous parviennent pas.
• SPF : un enregistrement TXT commençant par v=spf1 qui liste les serveurs et services autorisés à envoyer au nom du domaine. Un domaine a un seul enregistrement SPF et au plus 10 requêtes DNS.
• DKIM : une signature numérique sur chaque message. La clé publique se trouve à <sélecteur>._domainkey.<domaine> ; chaque service d’envoi a son sélecteur.
• DMARC : un enregistrement TXT à _dmarc.<domaine> qui indique quoi faire des e-mails qui échouent à SPF/DKIM : none (surveiller), quarantine (spam) ou reject (refuser).

Lire les résultats

• Conforme : bien configuré.
• À améliorer : l’e-mail fonctionne, mais corriger améliore l’arrivée en boîte de réception.
• Erreur : un réglage important manque ou est faux ; à corriger en priorité.
• Le score global (0–100) donne un repère rapide ; l’essentiel est de corriger toutes les "Erreur".

Ajouter un enregistrement TXT

1. Connectez-vous là où le DNS de votre domaine est géré (Cloudflare, OVHcloud, Gandi, votre registraire…).

2. Ouvrez le domaine et allez dans DNS / Gérer les enregistrements.

3. Cliquez sur Ajouter un enregistrement et choisissez le type TXT.

4. Nom/Hôte : saisissez exactement la valeur suggérée (@ est le domaine racine ; _dmarc pour DMARC).

5. Valeur : collez le contenu suggéré, sans guillemets si l’interface les ajoute elle-même.

6. Enregistrez, attendez 5 à 30 minutes (parfois quelques heures), puis cliquez de nouveau sur Vérifier ici.

Questions fréquentes

J’utilise une adresse personnelle @gmail.com. Est-ce utile ?

Non. SPF, DKIM et DMARC ne se configurent que sur un domaine qui vous appartient. Pour l’e-mail marketing, utilisez une adresse sur votre propre domaine (par exemple contact@votreentreprise.fr) et configurez les trois enregistrements.

J’ai déjà SPF. Comment ajouter un nouveau service d’envoi ?

Ne créez pas de second enregistrement SPF. Ajoutez l’include du nouveau service à votre enregistrement existant, avant ~all. Exemple : v=spf1 include:_spf.google.com include:nouveauservice.fr ~all.

L’outil ne trouve pas DKIM alors que je l’ai activé.

DKIM se trouve à un "sélecteur" nommé par votre fournisseur, et il est impossible de lister tous les sélecteurs. L’outil essaie les noms courants ; si votre fournisseur en utilise un propre, trouvez-le dans l’administration de votre messagerie et saisissez-le dans le champ "Sélecteur DKIM".

DMARC en p=none, quarantine ou reject ?

Commencez par p=none avec rua pour recevoir des rapports pendant 2 à 4 semaines. Quand toutes vos vraies sources d’envoi passent SPF/DKIM, passez à p=quarantine, puis à p=reject. Passer trop tôt peut bloquer vos propres e-mails légitimes.

Combien de temps avant que les changements s’appliquent ?

En général 5 à 30 minutes, jusqu’à 24–48 heures selon votre hébergeur DNS. L’outil lit toujours les données DNS publiques les plus récentes.

L’outil conserve-t-il le domaine saisi ?

Non. La vérification s’exécute dans votre navigateur ; seul le nom de domaine est envoyé au service public de requêtes DNS de Cloudflare (1.1.1.1), avec Google DNS en secours. TBN Grow ne conserve ni le domaine ni les résultats.