Pour vérifier SPF, DKIM et DMARC, il suffit d'interroger la zone DNS de votre nom de domaine avec un outil gratuit en ligne, ou en une commande depuis votre ordinateur. En quelques secondes, vous savez si vos trois enregistrements existent, s'ils sont valides et s'ils protègent vraiment votre domaine contre l'usurpation.
Ce guide passe en revue les outils gratuits qui font le travail à votre place, la méthode manuelle pour les plus techniques, et surtout la lecture du résultat : c'est là que se cachent les erreurs de configuration qui laissent un domaine sans protection réelle.
Pourquoi vérifier SPF, DKIM et DMARC aujourd'hui
Ces trois enregistrements DNS forment la carte d'identité de votre domaine auprès des messageries. Ils indiquent qui a le droit d'envoyer des emails en votre nom et permettent de rejeter les messages usurpés. Sans eux, n'importe qui peut faire circuler un courriel qui semble venir de votre adresse, et vos propres messages légitimes risquent de finir en indésirables.
Le sujet n'est plus théorique. Depuis février 2024, Google et Yahoo imposent à tout expéditeur d'authentifier ses emails avec au moins SPF ou DKIM, et exigent des expéditeurs en volume (environ 5 000 messages par jour vers leurs boîtes) la combinaison complète SPF + DKIM + DMARC avec alignement. Microsoft applique des règles équivalentes sur Outlook depuis mai 2025, et Gmail a durci ses rejets fin 2025. Un domaine mal configuré ne reçoit plus seulement un avertissement : ses messages peuvent être retardés, classés en spam, voire rejetés.
Même si vous n'envoyez que quelques dizaines d'emails par jour depuis votre messagerie professionnelle, la vérification reste utile : elle confirme que votre domaine est protégé contre l'usurpation et que vos courriers arrivent bien à destination.
Ce que chaque enregistrement protège
Avant de lire un résultat de vérification, il faut savoir ce que l'on regarde. En résumé :
- SPF (Sender Policy Framework, défini par la RFC 7208) liste les serveurs autorisés à envoyer des emails pour votre domaine. C'est un enregistrement TXT placé à la racine du domaine.
- DKIM (DomainKeys Identified Mail, RFC 6376) ajoute une signature cryptographique à chaque message.
La clé DKIM est publiée directement en TXT ou indirectement via un CNAME, selon le fournisseur.
, sous la forme
selecteur._domainkey.votredomaine.fr. - DMARC (RFC 7489) indique aux messageries quoi faire des emails qui échouent à SPF et DKIM, et où envoyer les rapports. Il se publie sur
_dmarc.votredomaine.fr.
Pour comprendre en détail comment ces mécanismes fonctionnent et comment les mettre en place, consultez notre guide complet SPF, DKIM et DMARC. Ici, l'objectif est plus ciblé : contrôler ce qui est déjà en place.
Les outils gratuits pour vérifier en ligne
La méthode la plus simple consiste à saisir votre nom de domaine dans un vérificateur en ligne. Ces services interrogent votre DNS et affichent vos enregistrements, leur validité et les problèmes détectés. Voici les principaux, tous gratuits pour une vérification ponctuelle :
| Outil | Ce qu'il vérifie | Points forts |
|---|---|---|
| MXToolbox | SPF, DKIM, DMARC, MX, listes de blocage | Référence du secteur. Détaille l'arborescence SPF et compte les recherches DNS. |
| Google Admin Toolbox (Check MX / Dig) | MX, SPF, DMARC, DKIM | Outil officiel Google, sans inscription. Pratique pour les domaines routés vers Gmail. |
| dmarcian | SPF, DKIM, DMARC | Contrôles proches de ceux des messageries. Visualisation graphique du SPF (SPF Surveyor). |
| EasyDMARC / Red Sift Investigate | SPF, DKIM, DMARC, BIMI | Diagnostic clair avec recommandations concrètes de correction. |
| Mail-Tester | Test sur un email réellement envoyé | Vous envoyez un message à une adresse jetable ; le score inclut SPF, DKIM et DMARC en conditions réelles. |
Un point d'attention : pour tester DKIM, la plupart de ces outils vous demandent le sélecteur. Sans lui, l'outil ne peut pas trouver la clé. Nous y revenons plus bas, car c'est l'un des blocages les plus courants.
Le diagnostic gratuit d'AntiSpammeur interroge d'un seul coup vos enregistrements MX, SPF, DKIM et DMARC, et vous indique lesquels sont valides, lesquels manquent et ce qu'il faut corriger. Aucun compte à créer, résultat immédiat. Tester mon domaine gratuitement.
Vérifier à la main avec dig ou nslookup
Si vous êtes à l'aise en ligne de commande, vous pouvez lire directement les enregistrements TXT, sans passer par un service tiers. C'est rapide et sans limite d'usage.
Interroger l'enregistrement SPF
Sous Linux ou macOS : dig TXT votredomaine.fr +short. Sous Windows : nslookup -type=TXT votredomaine.fr. Cherchez la ligne commençant par v=spf1.
Interroger la clé DKIM
dig TXT selecteur._domainkey.votredomaine.fr +short. Remplacez selecteur par celui de votre fournisseur (par exemple google pour Google Workspace, selector1 et selector2 pour Microsoft 365).
Interroger la politique DMARC
dig TXT _dmarc.votredomaine.fr +short. Vous devez obtenir une ligne débutant par v=DMARC1.
À quoi ressemble une configuration correcte
Voici un exemple anonymisé de zone DNS pour un domaine dont la messagerie est routée vers Google Workspace. Les trois enregistrements sont présents et cohérents :
entreprise-exemple.fr. IN TXT "v=spf1 include:_spf.google.com -all"
; DKIM -- publié sur le sélecteur du fournisseur (clé 2048 bits)
google._domainkey.entreprise-exemple.fr. IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSq...(clé publique)"
; DMARC -- politique active + adresse de rapports
_dmarc.entreprise-exemple.fr. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@entreprise-exemple.fr; adkim=s; aspf=s"
Ce qu'il faut lire dans ce résultat : un seul enregistrement SPF, terminé par -all (rejet strict des serveurs non listés) ; une clé DKIM présente sur le bon sélecteur ; une politique DMARC en p=quarantine ou p=reject, et non pas seulement p=none. Une configuration en p=none vous donne de la visibilité via les rapports, mais ne bloque encore aucun email frauduleux.
Les erreurs de configuration les plus fréquentes
La vérification ne sert à rien si l'on ne sait pas repérer ce qui cloche. Voici les défauts qui reviennent le plus souvent lors d'un contrôle, et qui laissent un domaine mal protégé alors que tout semble en place :
Deux enregistrements SPF sur le même domaine : c'est invalide, la RFC 7208 n'en autorise qu'un. Le second casse l'ensemble.
- Un sélecteur DKIM erroné. L'erreur numéro un. L'outil affiche « clé introuvable » simplement parce que le sélecteur testé n'est pas le bon. Le sélecteur dépend du fournisseur : vérifiez-le dans sa documentation avant de conclure que DKIM est absent.
- Un SPF qui dépasse 10 recherches DNS. Au-delà de dix, le SPF renvoie une erreur permanente et n'est plus évalué : la protection tombe silencieusement. Cela arrive vite quand on empile plusieurs services d'envoi via des
include. - Un SPF terminé par
~allau lieu de-all. Le~all(softfail) laisse passer les messages douteux au lieu de les rejeter. Il est acceptable en phase de test, mais l'objectif reste-all.-allest pertinent lorsque tous les expéditeurs légitimes ont été correctement recensés. Cela évite qu'un lecteur passe naïvement de~allà-allet casse un service d'envoi oublié. - Un DMARC resté en
p=none. Beaucoup de domaines publient DMARC puis l'oublient en mode observation. Tant qu'il n'est pas passé enquarantineoureject, il ne bloque aucune usurpation. - Un défaut d'alignement. SPF et DKIM peuvent « passer » techniquement tout en échouant à DMARC si le domaine du champ From ne correspond pas au domaine authentifié. C'est un piège classique avec les prestataires d'emailing.
Questions fréquentes
Comment savoir si mon domaine a bien SPF, DKIM et DMARC ?
Saisissez votre nom de domaine dans un vérificateur gratuit comme MXToolbox ou dmarcian, ou lancez la commande dig TXT votredomaine.fr. Pour DKIM, vous devrez indiquer le sélecteur de votre fournisseur. L'outil affiche alors chaque enregistrement présent et signale ceux qui manquent ou sont invalides.
Pourquoi l'outil ne trouve-t-il pas ma clé DKIM ?
Presque toujours parce que le sélecteur testé n'est pas le bon. La clé DKIM est publiée sur un sélecteur propre à votre fournisseur, par exemple google ou selector1. Consultez sa documentation pour connaître le sélecteur exact, puis relancez la vérification avec cette valeur.
Faut-il vérifier même si je n'envoie pas d'emails en masse ?
Oui. Depuis 2024, Google et Yahoo demandent à tout expéditeur au moins SPF ou DKIM. Au-delà de la conformité, ces enregistrements protègent votre domaine contre l'usurpation et évitent que vos messages légitimes ne finissent en indésirables. La vérification vaut donc pour toute messagerie professionnelle.
Que signifie un DMARC en p=none ?
La politique p=none met DMARC en mode observation : vous recevez des rapports sur les emails envoyés en votre nom, mais aucun message frauduleux n'est bloqué. C'est un point de départ utile pour analyser vos flux, avant de passer à quarantine puis reject pour une protection réelle.
En résumé
Vérifier SPF, DKIM et DMARC prend quelques secondes avec un outil gratuit, mais l'essentiel se joue dans la lecture : un seul SPF en -all, un DKIM sur le bon sélecteur, un DMARC qui ne reste pas en p=none. Si un doute persiste sur la marche à suivre pour corriger ou mettre en place ces enregistrements, reprenez notre guide complet SPF, DKIM et DMARC, qui détaille chaque étape.