Authentification e-mail du domaine

Comment fonctionne cette vérification

Cette vérification ne touche pas à ton site : elle interroge le DNS de ton domaine. Et elle remonte la chaîne de domaines (si tu analyses app.tondomaine.com, elle regarde aussi tondomaine.com), parce que le courrier se configure sur le domaine enregistrable. Elle cherche cinq choses. SPF : un enregistrement TXT commençant par v=spf1 ; s'il n'y en a à aucun niveau, sévérité moyenne ; s'il se termine par +all, élevée ; s'il y en a plusieurs, moyenne. DMARC : un TXT sur _dmarc. avec v=DMARC1 ; absent, moyenne ; présent avec p=none, faible. BIMI : seulement si tu as déjà DMARC, et son absence est informative. S'il y a SPF ou DMARC (signe que le domaine utilise le courrier), elle vérifie aussi les enregistrements MX (absents, faible) et DKIM, en essayant quatorze sélecteurs courants (google, default, selector1, selector2, k1, s1, dkim, mail, mandrill, zoho…) ; si aucun ne répond, faible, avec la réserve que tu peux utiliser un autre sélecteur. Enfin, MTA-STS sur _mta-sts. ; absent, faible. Si une requête DNS échoue, le constat n'est pas inventé.

Pourquoi c'est important

Sans SPF ni DMARC, n'importe qui peut envoyer des courriers prétendant venir de support@tondomaine.com et les serveurs destinataires n'ont aucun moyen de savoir qu'ils sont faux. C'est la base du hameçonnage avec ta marque : contre tes clients, tes fournisseurs ou ta propre équipe. De plus, depuis 2024 Gmail et Yahoo exigent SPF, DKIM et DMARC de quiconque envoie en volume ; sans eux, tes courriers légitimes partent en spam ou sont rejetés. DKIM signe chaque message pour qu'il ne puisse pas être altéré en transit. MTA-STS empêche un attaquant sur le réseau de forcer la livraison de ton courrier sans chiffrement. Et BIMI, une fois tout le reste en place, affiche ton logo à côté de tes courriers dans Gmail et Apple Mail.

Comment corriger

SPF

v=spf1 include:_spf.google.com ~all

Un seul enregistrement TXT sur le domaine, avec un include: par service qui envoie du courrier en ton nom (Google Workspace, Microsoft 365 avec spf.protection.outlook.com, ton fournisseur transactionnel). Termine par ~all ou -all, jamais +all. Si tu as deux enregistrements, fusionne-les en un. Dix requêtes DNS au maximum en tout ; au-delà, le SPF cesse de valider.

DKIM

Il s'active chez le fournisseur de courrier (Google Workspace, Microsoft 365, Resend, SendGrid…), qui te donne un enregistrement TXT ou CNAME à publier sur selecteur._domainkey.tondomaine.com. Pour savoir quel sélecteur tu utilises, ouvre un courrier envoyé depuis ton domaine, regarde les en-têtes et cherche DKIM-Signature: ... s=selecteur.

DMARC

v=DMARC1; p=none; rua=mailto:dmarc@tondomaine.com

Sur _dmarc.tondomaine.com. Commence en p=none pour recevoir des rapports sans rien bloquer, observe pendant deux ou trois semaines quels services envoient en ton nom, ajoute-les à SPF et DKIM, puis passe à p=quarantine et ensuite à p=reject.

MTA-STS et BIMI

MTA-STS, ce sont deux pièces : un TXT sur _mta-sts.tondomaine.com avec v=STSv1; id=2026100901 et un fichier sur https://mta-sts.tondomaine.com/.well-known/mta-sts.txt avec mode: enforce, tes serveurs MX et un max_age. BIMI exige DMARC en quarantine ou reject, un logo SVG carré et un TXT sur default._bimi ; Gmail demande en plus un certificat de marque vérifiée (VMC), qui est payant.

Vérifie que c'est corrigé

dig +short TXT tondomaine.com | grep spf1
dig +short TXT _dmarc.tondomaine.com
dig +short MX tondomaine.com
dig +short TXT google._domainkey.tondomaine.com
dig +short TXT _mta-sts.tondomaine.com

Remplace google par ton sélecteur. Sous Windows, nslookup -type=TXT _dmarc.tondomaine.com fait la même chose. Les changements DNS mettent de quelques minutes à quelques heures à apparaître.

Questions fréquentes

Mon domaine n'envoie pas de courrier. Ai-je besoin de tout ça ?

Tu as quand même besoin de SPF et DMARC, mais en version « personne n'envoie » : v=spf1 -all et v=DMARC1; p=reject. Ainsi personne ne peut t'usurper. MX, DKIM et le reste ne te seront pas demandés, parce qu'ils ne sont vérifiés que lorsque le domaine utilise le courrier.

J'ai DKIM mais ça dit « pas de DKIM sur les sélecteurs courants ».

Tu utilises un sélecteur qui n'est pas dans la liste. Le constat le dit, et il est de sévérité faible précisément pour ça. Vérifie avec la commande ci-dessus et ton vrai sélecteur, puis marque-le comme accepté.

DMARC en p=none ne sert à rien ?

Il sert à voir qui envoie en ton nom, ce qui est l'étape préalable indispensable. Mais il ne bloque rien : un faux courrier avec DMARC en p=none arrive quand même. La protection commence à quarantine. Le reste de la santé du domaine (CAA, DNSSEC, expiration) est examiné par santé du domaine.