Outil gratuit
Trois enregistrements DNS décident si vos e-mails sont crus
Trois enregistrements DNS décident si un message portant votre nom de domaine est cru ou jeté. Générez-les ici, avec les avertissements qui comptent, ceux que les générateurs habituels oublient de vous donner.
1. SPF : qui a le droit d'écrire en votre nom
SPF liste les serveurs autorisés à envoyer du courrier pour votre domaine. Cochez vos prestataires, ajoutez vos propres serveurs, et publiez le résultat en enregistrement TXT à la racine du domaine.
Les valeurs ci-dessus sont celles publiées par ces prestataires, mais elles évoluent : vérifiez-les dans la documentation de votre fournisseur avant de publier.
2. DKIM : la signature de vos messages
DKIM signe chaque e-mail avec une clé privée détenue par votre serveur d'envoi ; la clé publique correspondante est publiée dans votre zone DNS. Si votre messagerie est hébergée chez un prestataire, il vous fournit lui-même l'enregistrement : n'utilisez ce générateur que pour un serveur que vous administrez.
Enregistrement DNS à publier :
Clé privée, à installer sur votre serveur d'envoi uniquement :
Cette clé est produite par le générateur cryptographique de votre navigateur et n'a jamais quitté votre machine. Traitez-la comme un mot de passe : ne l'envoyez pas par e-mail, ne la copiez pas dans un document partagé, et restreignez ses droits de lecture sur le serveur. Fermez cette page une fois la clé installée ; elle n'est stockée nulle part et ne pourra pas être récupérée.
3. DMARC : la consigne et les rapports
DMARC dit aux destinataires quoi faire d'un message qui échoue aux contrôles précédents, et vous fait remonter chaque jour un rapport des envois effectués en votre nom. C'est le seul des trois qui vous apprend quelque chose.
Ce que personne n'explique
L'ordre dans lequel s'y prendre
La faute la plus fréquente, c'est de publier un DMARC en reject dès le premier jour, par excès de zèle. Les factures cessent de partir, le logiciel de réservation n'envoie plus rien, et personne ne comprend pourquoi. Aucune erreur ne s'affiche nulle part : les messages disparaissent, tout simplement.
La bonne séquence est toujours la même :
- Recensez d'abord vos expéditeurs. Votre messagerie, bien sûr, mais aussi la boutique en ligne, l'outil de facturation, la newsletter, le formulaire de contact du site, le photocopieur qui numérise vers votre boîte. Il y en a toujours plus qu'on ne croit.
- Publiez SPF en ~all et DKIM. Rien n'est bloqué à ce stade.
- Publiez DMARC en p=none avec une adresse de rapport. Vous recevez alors, chaque jour, la liste des serveurs qui écrivent en votre nom. C'est là que se révèlent les expéditeurs oubliés.
- Attendez deux à quatre semaines. Corrigez jusqu'à ce que les rapports ne montrent plus que des envois légitimes correctement authentifiés.
- Durcissez alors : quarantine, puis reject, et -all côté SPF.
Trois pièges techniques
Un seul enregistrement SPF par domaine. S'il en existe deux, la vérification n'échoue pas à moitié : elle échoue entièrement. Pour ajouter un prestataire, on complète l'enregistrement existant, on n'en crée pas un second.
Dix résolutions DNS, pas onze. Chaque include consomme une résolution, et peut en déclencher d'autres en cascade. Au-delà de dix, les destinataires abandonnent la vérification, sans que rien ne vous le signale. Le générateur ci-dessus compte pour vous.
L'alignement. DMARC ne vérifie pas seulement que SPF ou DKIM passent, mais que le domaine validé correspond à celui affiché dans le champ « De ». C'est ce qui fait échouer les messages relayés par un prestataire mal configuré, alors même que SPF et DKIM semblent corrects de leur côté.
Et le reste
Ces trois enregistrements sont désormais un minimum : les grandes messageries exigent l'authentification des expéditeurs qui envoient en volume, et refusent le reste. Une fois DMARC en place, deux compléments méritent le détour : MTA-STS, qui impose le chiffrement du transport vers votre domaine, et BIMI, qui affiche votre logo dans la boîte de réception de vos destinataires. Ce dernier suppose toutefois une politique DMARC déjà stricte.
Vos messages n'arrivent toujours pas ?
La délivrabilité se joue rarement sur un seul réglage. J'analyse vos rapports DMARC, je retrouve les expéditeurs oubliés et je durcis la configuration sans rien casser.