Ce que fait cet outil
SPF, DKIM et DMARC forment ensemble le socle de l'authentification email — le mécanisme qui empêche n'importe qui d'envoyer un email qui se fait passer pour votre domaine. Cet outil vérifie les trois en une seule requête : la présence et le contenu de votre enregistrement SPF, la présence d'un enregistrement DMARC et sa politique, et la présence d'un enregistrement DKIM parmi une liste de sélecteurs courants.
SPF : qui a le droit d'envoyer en votre nom
Un enregistrement SPF (Sender Policy Framework) liste les serveurs autorisés à envoyer des emails pour votre domaine — généralement votre fournisseur de messagerie et tout service tiers que vous utilisez pour l'envoi (outil marketing, CRM, etc.). Sans SPF, un serveur de réception ne peut distinguer un email légitime de votre part d'un email usurpé envoyé depuis n'importe quel serveur. Un domaine qui utilise plusieurs services d'envoi mais n'a listé qu'un seul d'entre eux dans son SPF verra les emails des autres services parfois classés en spam.
DKIM : la signature qui prouve l'intégrité
DKIM (DomainKeys Identified Mail) signe cryptographiquement chaque email avec une clé privée, et publie la clé publique correspondante dans le DNS sous un nom appelé « sélecteur ». Le destinataire vérifie la signature avec cette clé publique pour confirmer que l'email n'a pas été modifié en chemin et provient bien d'un serveur possédant la clé privée. Contrairement à SPF, il n'existe aucun moyen public de découvrir quel sélecteur un domaine utilise sans le connaître à l'avance — c'est pourquoi cet outil teste une liste de sélecteurs courants plutôt que de garantir une réponse définitive.
DMARC : la politique qui referme la boucle
DMARC s'appuie sur SPF et DKIM pour dire aux destinataires quoi faire d'un email qui échoue l'un ou l'autre : ne rien faire de spécial (p=none, souvent utilisé en phase de test), le mettre en quarantaine/spam (p=quarantine), ou le rejeter purement et simplement (p=reject). DMARC ajoute aussi un mécanisme de rapports (rua=) qui informe le propriétaire du domaine des tentatives d'usurpation détectées — souvent la première fois qu'une entreprise découvre que son domaine est activement utilisé pour du phishing.
Une mise en garde sur la comparaison entre domaines
Un domaine bien configuré n'a pas forcément les trois mécanismes activés en même temps, ni tous au même niveau de rigueur. Un domaine tout neuf qui n'envoie encore aucun email peut légitimement n'avoir ni SPF ni DMARC ; un grand domaine avec des dizaines de services d'envoi tiers peut avoir un SPF long et complexe qui semble « mal » comparé à un SPF court, sans que ce soit un problème réel. Utilisez ces résultats comme point de départ pour un audit, pas comme une note absolue.