Ce que prouvent SPF, DKIM et DMARC, comment ils s'articulent, et un générateur qui écrit des enregistrements SPF et DMARC valides et compte les requêtes DNS SPF.
SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine. DKIM ajoute une signature qui prouve qu'un message n'a pas été modifié et indique le domaine signataire. DMARC vérifie que l'un des deux réussit pour le domaine de la ligne From, puis indique aux destinataires s'il faut livrer, mettre en quarantaine ou rejeter les messages qui échouent.
Ce qu'est chaque enregistrement et où il se trouve
Si vous envoyez des factures, des confirmations de réservation ou des newsletters depuis votre propre domaine, ces trois entrées DNS décident si elles arrivent en boîte de réception ou dans les spams. Chacune est un enregistrement TXT, une entrée DNS en texte libre que votre hébergeur DNS vous permet d'ajouter. Les générateurs ci-dessous écrivent pour vous les lignes SPF et DMARC et vérifient la syntaxe selon les normes publiées. DKIM est différent : votre fournisseur de messagerie génère sa clé, vous copiez donc sa valeur au lieu d'en écrire une.
En octobre 2026, Gmail demande SPF ou DKIM à tous les expéditeurs, et quiconque envoie 5,000 messages ou plus par jour vers des comptes Gmail doit avoir SPF, DKIM et DMARC. Yahoo demande aux expéditeurs en masse SPF, DKIM et une politique DMARC au moins égale à p=none. Mettre en place les trois est la réponse simple pour tout domaine professionnel.
Le symbole placé avant all est un qualificateur. Un moins signifie fail, un tilde softfail, un point d'interrogation neutral et un plus pass. La plupart des domaines se terminent par -all ou ~all ; +all approuverait tous les serveurs d'internet et ne doit jamais être utilisé.
La norme SPF indique que les vérificateurs doivent s'arrêter après 10 termes nécessitant une requête DNS : include, a, mx, ptr, exists et redirect. Les includes imbriqués dans d'autres includes comptent aussi. Dépasser la limite produit une erreur permanente (permerror), et SPF ne compte alors plus comme une réussite.
DMARC ne compte une réussite que si le domaine vérifié par SPF ou DKIM correspond au domaine affiché dans la ligne From. L'alignement souple, par défaut, accepte un sous-domaine de la même organisation ; l'alignement strict exige une correspondance exacte.
Dans l'espace d'administration de votre fournisseur de messagerie, généralement dans les paramètres d'authentification ou de domaine. Il vous donne un nom de sélecteur et une clé publique. Vous la publiez à ce sélecteur sous _domainkey, et le fournisseur signe les e-mails sortants avec la clé privée correspondante.
C'est possible, si un service qui envoie au nom de votre domaine manque dans SPF et ne signe pas avec DKIM. C'est pourquoi les rapports de p=none passent en premier : ils listent tous les serveurs qui envoient en votre nom, pour que vous puissiez les corriger avant de durcir la politique.
Les balises sont séparées par des points-virgules. v doit venir en premier et p est obligatoire ; tout le reste est facultatif.
Balises DMARC de la RFC 7489
Un include et une adresse IP coûtent à eux deux une seule requête DNS, et tout le reste échoue.
Le sélecteur s1 sur example.com est recherché à s1._domainkey.example.com. La clé elle-même vient de votre fournisseur.
Rien n'est encore bloqué ; les destinataires envoient des résumés quotidiens de qui a envoyé des e-mails au nom de votre domaine.
Générateur d'enregistrement SPF
Cochez les services qui envoient au nom de votre domaine et ajoutez les autres serveurs. Le résultat va dans un seul enregistrement TXT à @.
Services qui envoient vos e-mails
Adresses ou plages IPv4 supplémentaires, séparées par des espaces
Autres domaines include de vos fournisseurs, séparés par des espaces
E-mails provenant de serveurs non listés
Générateur d'enregistrement DMARC
Publiez le résultat dans un enregistrement TXT nommé _dmarc. Commencez par none, puis durcissez.
Politique (p)
Envoyer les rapports agrégés à (e-mail)
Pourcentage des e-mails en échec auxquels la politique s'applique (pct)
Alignement DKIM (adkim)
Alignement SPF (aspf)
Nom de l'enregistrement
Valeur de l'enregistrement
Rejeter (-all)
Marquer comme suspect (~all)
Aucun avis (?all)
Requêtes DNS dans cet enregistrement : {n} sur 10. Les includes présents dans les enregistrements de vos fournisseurs en ajoutent d'autres.
Plus de 10 requêtes : les destinataires renverront une erreur permanente.
Adresse ou plage IPv4 non valide : {v}
Nom de domaine non valide : {v}
Rien n'est listé, cet enregistrement n'approuve donc aucun serveur.
none : rapports uniquement
quarantine : envoyer en spam
reject : refuser la livraison
Souple (r)
Strict (s)
L'adresse de rapport ne ressemble pas à une adresse e-mail.
pct doit être un nombre entier de 0 à 100.
La syntaxe semble valide.
Commencer gratuitement · Sans carte bancaire