Mon domaine e-mail est-il protégé ?

Mis à jour le 29 octobre 2026

Sans SPF, DKIM ni DMARC, n'importe qui peut envoyer des e-mails qui semblent venir de votre domaine. Saisissez un domaine ou une adresse : l'outil lit sa configuration publique et vous dit précisément quoi corriger.

Ce que l'outil vérifie

Quand un e-mail arrive, la messagerie du destinataire consulte le DNS du domaine de l'expéditeur pour savoir s'il est authentique. L'outil lit exactement les mêmes enregistrements publics :

Enregistrement	Où il se trouve	Son rôle
MX	`exemple.fr`	Indique les serveurs qui reçoivent le courrier du domaine
SPF	TXT de `exemple.fr`	Liste les serveurs autorisés à envoyer au nom du domaine
DKIM	TXT de `sélecteur._domainkey.exemple.fr`	Publie la clé qui vérifie la signature des messages
DMARC	TXT de `_dmarc.exemple.fr`	Dit quoi faire d'un message qui échoue, et où envoyer les rapports
MTA-STS	TXT de `_mta-sts.exemple.fr`	Impose le chiffrement des messages reçus (facultatif)
BIMI	TXT de `default._bimi.exemple.fr`	Affiche le logo de la marque dans certaines messageries (facultatif)

Comment lire le résultat

La note sur 100 résume la protection. SPF et surtout DMARC pèsent le plus lourd, car ce sont eux qui empêchent l'usurpation. MTA-STS et BIMI sont des bonus. DKIM n'est compté que si une clé est trouvée ou si vous indiquez un sélecteur.

SPF en « -all » ou « ~all » : correct. « -all » demande de rejeter les serveurs non listés, « ~all » de les marquer comme suspects. Avec DMARC actif, les deux protègent bien.
SPF en « ?all », « +all » ou sans règle finale : le SPF existe mais ne protège pas. « +all » est même dangereux, puisqu'il autorise tout le monde.
Plusieurs SPF : erreur fréquente après l'ajout d'un nouveau service. Il faut les fusionner en un seul.
DMARC « p=none » : mode observation. Vous recevez des rapports, mais les e-mails usurpés passent. C'est une étape, pas une destination.
DMARC « quarantine » ou « reject » : les usurpations vont en spam ou sont refusées. C'est l'objectif.
Rapports « rua » : sans eux, impossible de savoir qui envoie au nom de votre domaine.

Pourquoi DKIM demande un sélecteur

Chaque fournisseur publie sa clé DKIM sous un nom de son choix, le sélecteur : google chez Google Workspace, selector1 et selector2 chez Microsoft 365, d'autres ailleurs. Le DNS ne permet pas de lister ces noms. L'outil essaie les plus courants ; s'il ne trouve rien, cela ne prouve pas que DKIM est absent.

Pour connaître votre sélecteur, ouvrez un e-mail envoyé depuis votre domaine, affichez ses en-têtes et cherchez la ligne DKIM-Signature : la valeur après s= est le sélecteur, celle après d= le domaine signataire. L'analyseur d'en-têtes de Boxo vous aide à les lire.

Pourquoi c'est important

Le protocole e-mail permet d'écrire n'importe quelle adresse dans le champ « De ». Sans authentification, un escroc peut envoyer de fausses factures ou de faux messages de mot de passe qui semblent venir de votre entreprise. Vos clients en sont les victimes, et votre réputation aussi.

La livraison est l'autre enjeu. Depuis 2024, Gmail et Yahoo demandent aux expéditeurs en nombre d'authentifier leurs messages avec SPF, DKIM et DMARC. Même pour un petit domaine, un SPF absent ou cassé fait souvent atterrir les messages légitimes dans les spams.

Que faire, dans l'ordre

Listez tout ce qui envoie des e-mails pour votre domaine : messagerie, site web, outil de newsletter, logiciel de facturation, CRM.
Publiez un seul SPF qui les autorise tous, terminé par ~all. Les enregistrements proposés par l'outil sont un point de départ à adapter.
Activez DKIM chez chacun de ces services : ils vous donnent l'enregistrement à ajouter.
**Publiez DMARC en p=none** avec une adresse rua, et lisez les rapports pendant quelques semaines.
**Montez en p=quarantine, puis p=reject** quand tous vos envois légitimes passent.

Un domaine qui n'envoie jamais d'e-mail, comme un nom réservé pour protéger une marque, doit aussi être verrouillé : v=spf1 -all et v=DMARC1; p=reject;. Sinon il reste une cible idéale pour l'usurpation, justement parce que personne ne le surveille.

Les changements DNS prennent de quelques minutes à quelques heures pour être visibles. Relancez l'analyse ensuite pour vérifier.

Obtenir une adresse jetable

Questions fréquentes

L'outil envoie-t-il un e-mail ou contacte-t-il le serveur du domaine ?

Non. Il lit uniquement des enregistrements DNS publics, les mêmes que consulte n'importe quelle messagerie à la réception d'un e-mail. Aucun message n'est envoyé.

Faut-il choisir « -all » ou « ~all » dans le SPF ?

Les deux conviennent dès que DMARC est actif. « ~all » est plus tolérant pendant la mise en place, si un service d'envoi a été oublié. Une fois tous vos expéditeurs listés, « -all » est plus strict.

Pourquoi l'outil ne trouve-t-il pas ma clé DKIM ?

Elle est publiée sous un sélecteur choisi par votre fournisseur, que le DNS ne permet pas de lister. Indiquez-le dans le champ prévu : il figure après « s= » dans l'en-tête DKIM-Signature d'un e-mail envoyé depuis votre domaine.

Passer DMARC en « reject » peut-il bloquer mes propres e-mails ?

Oui, si un de vos services d'envoi n'est pas autorisé par SPF ou signé par DKIM. C'est pourquoi il faut commencer par « p=none » et lire les rapports avant de durcir la politique.