Enter a domain to check

Checks SPF, DMARC, BIMI, MTA-STS, and TLS-RPT records simultaneously.

Zoom sur les protocoles

Comprendre les protocoles d'authentification e-mail

SPF (Sender Policy Framework)

SPF précise quels serveurs de messagerie sont autorisés à envoyer des e-mails pour votre domaine. Il fonctionne en publiant un enregistrement DNS TXT qui liste les adresses IP et noms d'hôte approuvés. Les serveurs destinataires consultent cet enregistrement pour vérifier que le courrier entrant provient d'une source autorisée.

DMARC (Domain-based Message Authentication)

DMARC relie SPF et DKIM et indique aux serveurs de messagerie destinataires quoi faire lorsqu'aucune des deux méthodes d'authentification ne réussit - rejeter, mettre en quarantaine ou autoriser le message. Il active également les rapports agrégés et forensiques afin que les propriétaires de domaine puissent surveiller les résultats d'authentification.

BIMI (Brand Indicators for Message Identification)

BIMI permet aux organisations d'afficher leur logo de marque à côté des e-mails authentifiés dans les clients de messagerie compatibles. Il requiert une politique DMARC valide (quarantine ou reject) et, en option, un certificat VMC (Verified Mark Certificate) pour l'affichage du logo dans Gmail et Apple Mail.

MTA-STS (Mail Transfer Agent Strict Transport Security)

MTA-STS indique aux serveurs de messagerie d'envoi que votre domaine exige le chiffrement TLS pour la remise du courrier. Il empêche les attaques par rétrogradation et l'interception de type man-in-the-middle en publiant un enregistrement DNS et un fichier de politique qui imposent des connexions chiffrées.

TLS-RPT (TLS Reporting)

TLS-RPT permet aux serveurs de messagerie destinataires de vous signaler les échecs de connexion TLS. Combiné à MTA-STS, il offre de la visibilité sur les problèmes de remise causés par des erreurs de certificat, des certificats expirés ou un chiffrement mal configuré.

Protection complète

Pourquoi les 5 protocoles comptent

Anti-usurpation

SPF + DMARC empêchent les expéditeurs non autorisés d'usurper votre domaine.

Chiffrement

MTA-STS + TLS-RPT garantissent que l'e-mail est chiffré en transit et signalent les échecs.

Confiance dans la marque

BIMI affiche votre logo dans la boîte de réception, renforçant la confiance des destinataires et les taux d'ouverture.

Réaliser l'audit

Comment réaliser un audit complet d'authentification e-mail

L'authentification e-mail n'est pas un réglage unique - ce sont cinq enregistrements DNS qui fonctionnent comme une pile. Ce vérificateur les récupère tous en une fois pour que vous voyiez l'ensemble du tableau au lieu de traquer un enregistrement à la fois. Voici comment lire cet audit et le corriger dans le bon ordre.

Ce que couvre un audit complet

Un contrôle complet examine SPF (quels serveurs peuvent envoyer), DKIM (une signature prouvant que les messages n'ont pas été altérés), DMARC (la politique reliant SPF et DKIM à votre domaine From), MTA-STS (chiffrement TLS imposé en transit) et TLS-RPT (rapports sur les échecs de chiffrement). Un domaine peut réussir l'un et échouer aux autres, donc les auditer ensemble est le seul moyen de savoir que vous êtes réellement protégé.

Lire vos résultats : sain vs cassé

SPF - présent, valide et sous les dix recherches DNS ; vérifiez la syntaxe SPF pour en être sûr. Un PermError ici casse silencieusement DMARC.
DMARC - présent à _dmarc, avec une politique plus forte que p=none et une adresse de rapport.
DKIM - au moins un sélecteur actif publiant une clé robuste (2048 bits).
MTA-STS / TLS-RPT - une politique publiée imposant TLS, plus une adresse pour recevoir les rapports d'échec.

L'ordre dans lequel corriger les choses

Travaillez de bas en haut, car chaque couche dépend de celle du dessous. Commencez par SPF - c'est la fondation, et DMARC ne peut appliquer sa politique sans un résultat SPF ou DKIM réussi et aligné. Confirmez ensuite la signature DKIM. Puis relevez votre politique DMARC de none vers reject. Ce n'est qu'ensuite que vous ajoutez la sécurité du transport avec MTA-STS et TLS-RPT, et enfin BIMI pour afficher votre logo - ce qui nécessite un DMARC appliqué pour fonctionner.

Où les domaines échouent le plus souvent

SPF au-delà de la limite de 10 recherches - l'échec le plus courant, et celui qu'AutoSPF corrige automatiquement en aplatissant vos includes.
DMARC bloqué à p=none - publié mais jamais appliqué, il n'offre donc aucune protection.
Pas de MTA-STS - le courrier est tout de même remis, mais sans protection contre les attaques par rétrogradation.
BIMI sans VMC - le logo ne s'affichera pas dans Gmail ou Apple Mail sans certificat VMC (Verified Mark Certificate).

Relancez cet audit chaque fois que vous ajoutez un service d'envoi ou changez de fournisseur - des vérifications SPF régulières détectent la dérive tôt - et corrigez chaque couche avec son outil dédié lié ci-dessus. Bien configurer SPF est le prérequis de tout le reste - AutoSPF le maintient valide et sous la limite de recherches pour que le reste de votre pile repose sur une base solide.

Besoin d'aide pour corriger votre authentification e-mail ?

AutoSPF aplatit automatiquement les enregistrements SPF et maintient votre authentification e-mail alignée. La configuration prend 60 secondes.

Démarrer l'essai gratuit→Voir les offres et tarifs

Authentification de domaine Vérificateur