Outils
Terminal (dig), Gmail
Prix
Gratuit
Temps
10 min
Niveau
Terminal, débutant

En une phrase chacun : SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine. DKIM ajoute une signature à chaque e-mail, vérifiable par le destinataire. DMARC dit quoi faire d'un e-mail qui échoue aux deux premiers tests, et vous envoie des rapports. Google demande au moins SPF ou DKIM à tous les expéditeurs, et les trois à ceux qui envoient plus de 5 000 messages par jour vers Gmail.

Le test le plus simple, sans terminal

  1. Envoyez-vous un e-mail vers une adresse GmailDepuis votre adresse pro (vous@votre-entreprise.fr) vers une adresse Gmail que vous consultez.
  2. Afficher l'originalDans Gmail sur ordinateur, ouvrez l'e-mail, cliquez sur les trois points à côté de « Répondre », puis « Afficher l'original ». En haut, trois lignes SPF, DKIM et DMARC indiquent PASS (réussi) ou FAIL (échec).

Lire les réglages avec le Terminal

La commande dig est déjà installée sur Mac. Elle lit les enregistrements DNS, c'est-à-dire les fiches publiques attachées à votre domaine. Remplacez votre-entreprise.fr par votre domaine.

  1. SPFCherchez une ligne qui commence par v=spf1. Il doit n'y en avoir qu'une seule.
    Terminal
    dig +short TXT votre-entreprise.fr
  2. DMARCLa réponse doit commencer par v=DMARC1. Si rien ne s'affiche, vous n'avez pas de DMARC.
    Terminal
    dig +short TXT _dmarc.votre-entreprise.fr
  3. DKIMIl faut connaître le « sélecteur », le petit nom de la clé. Chez Google Workspace, c'est google par défaut ; chez Microsoft 365, selector1 ou selector2. Sinon, il est écrit dans « Afficher l'original », après s= dans la ligne DKIM-Signature.
    Terminal
    dig +short TXT google._domainkey.votre-entreprise.fr

Sur Windows, la commande équivalente est nslookup -type=TXT _dmarc.votre-entreprise.fr. Google propose aussi un outil en ligne, Check MX, qui contrôle les réglages de messagerie d'un domaine.

Si DMARC manque

Google conseille de commencer en mode observation : les e-mails sont livrés normalement, et vous recevez des rapports sur qui envoie en votre nom. On ajoute chez l'hébergeur du domaine un enregistrement TXT nommé _dmarc, avec une valeur de ce type (adresse de rapport à remplacer, de préférence une boîte dédiée) :

Valeur TXT
v=DMARC1; p=none; rua=mailto:dmarc@votre-entreprise.fr

Une fois que tous vos envois légitimes passent (outil d'e-mailing, facturation, CRM), on durcit progressivement vers p=quarantine puis p=reject.

Prudence. Un mauvais enregistrement DNS peut bloquer vos propres e-mails. Google recommande d'attendre 48h après la mise en place de SPF ou DKIM avant d'ajouter DMARC, et de ne passer en reject qu'après avoir lu les rapports. Ne vérifiez et ne modifiez que les domaines qui vous appartiennent.

Sources

Vos relances, devis et newsletters partent d'un outil automatique ? Je vérifie ces réglages à chaque automatisation qui envoie des e-mails.