Pourquoi l'authentification e-mail est essentielle
Trois briques qui se complètent
SPF dit quels serveurs ont le droit d'envoyer pour votre domaine. La règle est publiée dans un enregistrement TXT à l'apex. Bien réglé, il limite l'usurpation. Trop permissif, il laisse passer des abus.
DKIM signe vos messages. La clé publique vit dans un TXT sous selector._domainkey. Une signature valide prouve que le message n'a pas été modifié et indique quel domaine l'a signé.
DMARC relie l'adresse visible à SPF et DKIM. Si SPF ou DKIM passe et qu'il est aligné avec le domaine de l'expéditeur, le message est considéré conforme. La politique décide ensuite du traitement en cas d'échec observation, quarantaine ou rejet.
Ce que voit un serveur destinataire
À la réception, le serveur lit vos enregistrements DNS puis ajoute un en-tête Authentication Results. On y retrouve spf pass ou fail, dkim pass ou fail, dmarc pass ou fail, avec le domaine évalué. Cet en-tête est votre vérité terrain. Il confirme l'effet réel de vos réglages, au delà de la théorie.
Ce que change BIMI
BIMI n'est pas un filtre antispam. Il affiche un logo validé quand DMARC est en place avec une politique appliquée. Le logo est réclamé via un enregistrement DNS dédié et parfois un certificat VMC. Résultat simple le destinataire identifie mieux votre marque et repère plus vite un faux.
Les erreurs les plus courantes
- Deux SPF au même nom. Il faut fusionner en une seule valeur.
- Un SPF qui dépasse la limite de recherches DNS. Il faut simplifier les include.
- Un sélecteur DKIM mal orthographié. La clé devient introuvable.
- Une clé publique tronquée. La vérification échoue silencieusement.
- Un DMARC sans alignement. Le message passe en théorie mais ne protège pas l'identité.
- Des rapports DMARC envoyés vers une boîte non surveillée. Vous perdez l'observabilité.
TTL et fameuse propagation
Le réseau ne “propage” pas au sens strict. Il met en cache selon le TTL. Un TTL court aide pendant une mise à jour. Un TTL trop court sur la durée surcharge inutilement et complique le diagnostic. Un TTL moyen stabilise un réglage validé. Réduisez avant un changement. Restaurez ensuite.
Comment utiliser la boîte à outils CaptainDNS
Valideurs de syntaxe SPF DKIM DMARC
Les valideurs lisent vos enregistrements et expliquent chaque élément.
SPF contrôles utiles ordre des mécanismes, include, redirect, présence de all, compte des requêtes DNS, IP et domaines inexistants. L'objectif est de rester sous la limite de dix recherches et d'éviter les boucles.
DKIM lecture des tags v, k, p, t, s. Vérification de la longueur de la clé publique, détection des coupures, des caractères non valides, et rappel des bonnes pratiques de rotation de clés.
DMARC lecture des tags v, p, sp, adkim, aspf, pct, rua, ruf. Vérification de l'alignement choisi et de la validité des adresses de rapport. Les valideurs expliquent la conséquence de chaque tag dans la vie réelle.
Inspecteurs d'enregistrements en direct
Les inspecteurs résolvent le DNS et affichent la réponse telle qu'elle est vue depuis Internet.
Inspecteur SPF, il déroule la chaîne include, montre les domaines appelés et où la limite de recherches serait dépassée.
Inspecteur DKIM, il résout le sélecteur, extrait la clé publique et contrôle la cohérence du format.
Inspecteur DMARC, il lit _dmarc.domaine, affiche la politique active, les adresses rua et ruf et montre si le pourcentage d'application est partiel.
Ces outils servent à vérifier le présent, pas la théorie. Idéal pour un ticket ou une mise en production.
Audit de délivrabilité email
Ce contrôle lit MX, SPF, DKIM et DMARC en une fois pour répondre à une question simple le domaine est-il prêt à envoyer. Il pointe aussi la cause la plus probable d'un échec SPF trop permissif, clé DKIM manquante, politique DMARC non appliquée, alignement strict qui casse sur un sous domaine, MX qui pointe vers un CNAME.
Générateur d'enregistrement DMARC
Le générateur vous aide à créer des enregistrements DMARC complets et conformes aux RFC.
- Configuration du domaine : saisie simple avec génération automatique de l'hostname _dmarc.
- Politiques flexibles : choix entre none, quarantine et reject avec gestion des sous-domaines.
- Rapports intégrés : adresses rua/ruf avec validation et conseils d'implémentation.
- Options avancées : alignements DKIM/SPF, pourcentages, intervalles et options d'échec.
L'outil génère l'enregistrement complet prêt à publier et guide vers l'inspecteur pour vérification post-déploiement.
BIMI opérationnel
Le validateur BIMI contrôle la structure de l'enregistrement, teste l'URL HTTPS du logo, vérifie les contraintes Tiny-PS et télécharge le VMC lorsqu'il est fourni. Associé à un DMARC appliqué en quarantine ou reject, il sécurise l'affichage de votre logo dans les webmails compatibles.
Méthode conseillée pour une mise en production
- Documenter l'état initial. Captures DNS et exemples d'Authentication Results.
- Réduire le TTL avant modification.
- Déployer SPF propre et unique. Vérifier en direct avec l'inspecteur.
- Publier la clé DKIM sur un nouveau sélecteur. Tester la signature en sortie.
- Activer DMARC en p=none, analyser les rapports, corriger puis appliquer.
- Ajouter BIMI lorsque DMARC est appliqué et que le logo/VMC passent la validation.
- Restaurer un TTL confortable quand tout est stable.
Suivi et vie courante
Les configurations évoluent au fil des prestataires, sous domaines, microservices et campagnes ponctuelles. Gardez un cycle simple contrôle régulier, lecture des rapports, rotation de clés, nettoyage des include et des sélecteurs obsolètes. Un changement doit toujours laisser une trace date, auteur, valeur précédente, valeur nouvelle, raison. Cela raccourcit chaque diagnostic.
Pour résumer, la boîte à outils d'authentification e-mail vous permet de valider la syntaxe, de vérifier la réponse réelle, de préparer une politique DMARC qui s'applique vraiment, et d'activer un BIMI propre. Des preuves claires, des étapes simples, des messages qui arrivent et une identité protégée.