Votre résultat
Le résultat dit si votre domaine publie un SPF valide, une clé DKIM sous les sélecteurs de votre fournisseur et une politique DMARC, puis liste les corrections dans l’ordre et les guides de votre hébergeur.
Un doute ? Envoyez-moi votre nom de domaine et votre hébergeur, je vous dis sous 24 h ce qui manque et quoi faire. Gratuit, sans engagement.
Envoyer mon nom de domaineVous préférez que je m’en occupe ? Mise en place de SPF, DKIM et DMARC dans votre zone DNS (OVH, o2switch, IONOS, Gandi, Infomaniak…), fusion d’un SPF existant, activation DKIM chez chaque logiciel d’envoi, mails de test et compte rendu écrit. Diagnostic gratuit, configuration sur devis, réponse sous 24 h.
Demander un devisOrange exige désormais SPF, DKIM et DMARC de tous les expéditeurs, quel que soit le volume (règles mises à jour le 1er septembre 2026). laposte.net le demande depuis septembre 2025, iCloud aussi, et Gmail rejette de plus en plus les messages non authentifiés depuis novembre 2025. Une TPE qui envoie ses devis et ses factures depuis son propre nom de domaine est donc concernée dès le premier mail. Cet outil lit les enregistrements DNS publics de votre domaine, reconnaît votre fournisseur de boîte mail et vos logiciels d’envoi, cherche la clé DKIM sous leurs sélecteurs, et vous dit ce qui manque et dans quel ordre le corriger.
Outil réalisé par Léo Guillaume, développeur freelance près de Rennes. Je configure l’envoi de mails des sites, des boutiques et des logiciels métier que je livre à des TPE et des PME, à distance, et je réponds sous 24 h.
Mis à jour le
Ce que demandent les messageries
Chaque grande messagerie a publié ses règles. Les voici telles qu’elles sont écrites, avec la date et la page officielle, sans dramatiser. Pour une TPE française, les deux premières lignes comptent plus que les suivantes.
1er septembre 2026
La page postmaster d’Orange, mise à jour le 1er septembre 2026, demande que les trois mécanismes passent : SPF requis, DKIM requis (un message non signé peut être rejeté), DMARC requis. Aucun seuil de volume : les règles s’appliquent à tout le monde. Les codes d’erreur 515 (DMARC), 519 (SPF) et 535 (DKIM) renvoient vers ces réglages.
Source : postmaster.orange.fr, mise à jour du 1er septembre 20269 septembre 2025
Le postmaster de laposte.net a annoncé le 22 août 2025 que tout expéditeur vers laposte.net, « particuliers, entreprises ou expéditeurs de messages transactionnels ou marketing », doit mettre en œuvre SPF, DKIM et DMARC, sans seuil de volume. Les mails qui échouent « seront considérés comme du spam ». Il n’existe pas de page officielle : la source est l’annonce relayée par dmarcian.
Source : dmarcian (FR), 3 septembre 2025, mis à jour le 11 novembre 20251er février 2024
Depuis le 1er février 2024, tout expéditeur vers Gmail doit configurer SPF ou DKIM, publier un PTR valide, chiffrer en TLS, rester sous 0,3 % de signalements et signer avec une clé DKIM d’au moins 1 024 bits. À partir de 5 000 messages par jour vers des comptes Gmail personnels : SPF et DKIM, DMARC (p=none accepté), alignement et désinscription en un clic. Depuis novembre 2025, les messages non conformes sont rejetés de façon progressive.
Source : Google, consignes pour les expéditeurs et FAQ sur les exigences5 mai 2025
« Effective May 5th, 2025 », les domaines qui envoient plus de 5 000 messages par jour vers Outlook.com, Hotmail et Live doivent passer SPF, DKIM et DMARC (au moins p=none, reject recommandé), alignés. Les messages non conformes vont d’abord en courrier indésirable, puis sont refusés avec l’erreur 550 5.7.515. En dessous du seuil, Microsoft « recommande fortement » les trois à tous les expéditeurs.
Source : Outlook.com Postmaster, Policies, Practices and Guidelines25 février 2025
La page d’Apple pour les expéditeurs demande SPF, DKIM, une politique DMARC publiée par le domaine d’envoi, un DNS inverse et un lien de désinscription, sans seuil de volume ni taux de plainte chiffré. Phrase clé : « All requirements must be met in order to send a bulk email. If not, the email will be rejected. »
Source : Apple, iCloud Mail – Best practices for senders7,8 %
Parmi les domaines .fr qui ont un serveur de réception, 57,8 % publient un SPF, 23,1 % au moins une clé DKIM et 7,8 % un DMARC. Parmi ces DMARC, 73,6 % sont en p=none : seuls 1,3 % de la zone .fr sont en p=reject. Les erreurs techniques de SPF sont rares : moins de 2,3 % de politiques trop permissives, 0,005 % au-delà de 10 consultations.
Source : AFNIC, étude du 21 mars 2023Pour une TPE qui envoie 50 mails par jour : vos clients ont des adresses @orange.fr, @wanadoo.fr, @laposte.net ou @icloud.com. Pour eux, « SPF ou DKIM » ne suffit pas, il faut les trois, dès le premier mail. Le seuil de 5 000 messages par jour de Google et de Microsoft ne concerne que leurs propres boîtes : il ne vous protège pas. Le verdict de l’outil vise donc SPF, DKIM et DMARC, avec au minimum p=none et une adresse de rapports.
Ce que vérifie l’outil
Rien n’est envoyé : l’outil interroge les serveurs DNS publics de votre domaine, suit les inclusions du SPF, sonde les sélecteurs DKIM connus et décode la clé trouvée. Il reconnaît aussi votre fournisseur de boîte mail à partir des MX et vos logiciels d’envoi à partir du SPF, pour vous donner les bons guides.
Un seul TXT commençant par v=spf1, les serveurs autorisés à envoyer en votre nom, au plus 10 consultations DNS en comptant les inclusions, une fin en ~all ou -all, aucune inclusion qui ne résout pas, et l’include de votre fournisseur de boîte.
La clé publique sous <sélecteur>._domainkey, cherchée sous les sélecteurs documentés par votre fournisseur (google, selector1, default, gm1, s1-ionos, protonmail…) et les plus courants, puis décodée : 1 024 bits au minimum, pas de clé révoquée (p= vide), pas de mode test (t=y).
Le TXT sous _dmarc : un seul enregistrement, v=DMARC1 en premier, une politique p=none, quarantine ou reject, le pourcentage pct, l’adresse de rapports rua et, quand elle est sur un autre domaine, l’autorisation _report._dmarc qui permet aux destinataires d’envoyer les rapports.
Par fournisseur
L’outil reconnaît votre fournisseur de boîte mail aux MX de votre domaine et vos logiciels d’envoi aux inclusions de votre SPF, puis sonde les sélecteurs que chacun documente. Quand le sélecteur est généré par compte (OVH, Amazon SES) ou choisi par vous (Zoho), il ne peut pas être deviné : lisez-le dans l’en-tête DKIM-Signature d’un mail envoyé.
| Fournisseur | Comment il est reconnu, sélecteurs DKIM | Guide officiel |
|---|---|---|
| Google Workspace | MX smtp.google.com ou aspmx.l.google.com, include:_spf.google.com. Sélecteur google (clé de 2 048 bits recommandée). | Configurer DKIM chez Google |
| Microsoft 365 | MX en .mail.protection.outlook.com, include:spf.protection.outlook.com. Sélecteurs selector1 et selector2, en CNAME. | Configurer DKIM chez Microsoft |
| OVHcloud | MX mx0 à mx4.mail.ovh.net, include:mx.ovh.com. Sélecteurs ovhmo<id>-selector1 et 2, propres au compte : non devinables, activés automatiquement. | Configurer DKIM chez OVHcloud |
| o2switch | MX dans votre propre domaine, reconnu à include:spf.jabatus.fr. Sélecteur default, clé de 2 048 bits générée par cPanel. | SPF, DKIM et DMARC chez o2switch |
| IONOS | MX mx00 et mx01.ionos.com ou .ionos.fr, include:_spf-eu.ionos.com. Sélecteurs s1-ionos, s2-ionos, s42582890, automatiques avec les serveurs de noms IONOS. | Configurer DKIM chez IONOS |
| Gandi | MX spool et fb.mail.gandi.net, include:_mailcust.gandi.net. Sélecteurs gm1, gm2 et gm3, en CNAME. | Anti-usurpation chez Gandi |
| Infomaniak | MX mta-gw.infomaniak.ch, include:spf.infomaniak.ch. Sélecteur non documenté, généré dans le Manager (Sécurité globale, DKIM). | Enregistrements DKIM chez Infomaniak |
| Proton Mail | MX mail et mailsec.protonmail.ch, include:_spf.protonmail.ch. Sélecteurs protonmail, protonmail2 et protonmail3, en CNAME. | Anti-usurpation chez Proton |
| Zoho Mail | MX mx, mx2 et mx3.zoho.eu ou .zoho.com, include:zoho.com ou one.zoho.eu. Sélecteur choisi par l’administrateur (zoho, zmail…). | Configurer DKIM chez Zoho |
| Hostinger | MX mx1 et mx2.hostinger.com, include:_spf.mail.hostinger.com. Sélecteurs hostingermail-a, -b et -c, en CNAME. | Configurer un domaine chez Hostinger |
| LWS | include:_spf.lws.fr, MX en .lws.fr ou .lwspanel.com (non documenté). Sélecteur default, clé générée par cPanel. | SPF, DKIM et DMARC chez LWS |
| Orange Pro | MX en .orange.fr ou .orange-business.com (valeurs selon l’offre, non publiées). Aucun sélecteur documenté : demandez-le au support. | Règles postmaster d’Orange |
| Brevo | include:spf.brevo.com ou spf.sendinblue.com. Sélecteurs brevo1 et brevo2 en CNAME, ancien format mail._domainkey en TXT. | Authentifier un domaine chez Brevo |
| Mailjet | include:spf.mailjet.com. Sélecteur mailjet, en TXT. | SPF et DKIM chez Mailjet |
| Mailchimp | include:servers.mcsv.net. Sélecteurs k2 et k3 en CNAME (k1 pour l’ancien format) ; Mandrill : mte1 et mte2. | Authentifier un domaine chez Mailchimp |
| SendGrid | include:sendgrid.net. Sélecteurs s1 et s2, en CNAME vers sendgrid.net. | Authentifier un domaine chez SendGrid |
| Amazon SES | include:amazonses.com (avec un domaine MAIL FROM personnalisé). Trois sélecteurs générés au hasard : non devinables, à lire dans l’en-tête d’un mail envoyé. | Easy DKIM chez Amazon SES |
MX smtp.google.com ou aspmx.l.google.com, include:_spf.google.com. Sélecteur google (clé de 2 048 bits recommandée).
Configurer DKIM chez GoogleMX en .mail.protection.outlook.com, include:spf.protection.outlook.com. Sélecteurs selector1 et selector2, en CNAME.
Configurer DKIM chez MicrosoftMX mx0 à mx4.mail.ovh.net, include:mx.ovh.com. Sélecteurs ovhmo<id>-selector1 et 2, propres au compte : non devinables, activés automatiquement.
Configurer DKIM chez OVHcloudMX dans votre propre domaine, reconnu à include:spf.jabatus.fr. Sélecteur default, clé de 2 048 bits générée par cPanel.
SPF, DKIM et DMARC chez o2switchMX mx00 et mx01.ionos.com ou .ionos.fr, include:_spf-eu.ionos.com. Sélecteurs s1-ionos, s2-ionos, s42582890, automatiques avec les serveurs de noms IONOS.
Configurer DKIM chez IONOSMX spool et fb.mail.gandi.net, include:_mailcust.gandi.net. Sélecteurs gm1, gm2 et gm3, en CNAME.
Anti-usurpation chez GandiMX mta-gw.infomaniak.ch, include:spf.infomaniak.ch. Sélecteur non documenté, généré dans le Manager (Sécurité globale, DKIM).
Enregistrements DKIM chez InfomaniakMX mail et mailsec.protonmail.ch, include:_spf.protonmail.ch. Sélecteurs protonmail, protonmail2 et protonmail3, en CNAME.
Anti-usurpation chez ProtonMX mx, mx2 et mx3.zoho.eu ou .zoho.com, include:zoho.com ou one.zoho.eu. Sélecteur choisi par l’administrateur (zoho, zmail…).
Configurer DKIM chez ZohoMX mx1 et mx2.hostinger.com, include:_spf.mail.hostinger.com. Sélecteurs hostingermail-a, -b et -c, en CNAME.
Configurer un domaine chez Hostingerinclude:_spf.lws.fr, MX en .lws.fr ou .lwspanel.com (non documenté). Sélecteur default, clé générée par cPanel.
SPF, DKIM et DMARC chez LWSMX en .orange.fr ou .orange-business.com (valeurs selon l’offre, non publiées). Aucun sélecteur documenté : demandez-le au support.
Règles postmaster d’Orangeinclude:spf.brevo.com ou spf.sendinblue.com. Sélecteurs brevo1 et brevo2 en CNAME, ancien format mail._domainkey en TXT.
Authentifier un domaine chez Brevoinclude:spf.mailjet.com. Sélecteur mailjet, en TXT.
SPF et DKIM chez Mailjetinclude:servers.mcsv.net. Sélecteurs k2 et k3 en CNAME (k1 pour l’ancien format) ; Mandrill : mte1 et mte2.
Authentifier un domaine chez Mailchimpinclude:sendgrid.net. Sélecteurs s1 et s2, en CNAME vers sendgrid.net.
Authentifier un domaine chez SendGridinclude:amazonses.com (avec un domaine MAIL FROM personnalisé). Trois sélecteurs générés au hasard : non devinables, à lire dans l’en-tête d’un mail envoyé.
Easy DKIM chez Amazon SESVotre fournisseur n’est pas dans la liste ? L’outil sonde quand même une vingtaine de sélecteurs courants (default, google, selector1, mail, dkim, s1, k1…). S’il ne trouve rien, cherchez « DKIM » dans l’aide de votre fournisseur, ou envoyez-moi le nom du fournisseur avec votre domaine : je regarde sous 24 h.
Dans l’ordre
Le même parcours chez OVH, o2switch, IONOS, Gandi ou Infomaniak : tout se passe dans la zone DNS du domaine et dans l’espace d’administration de chaque service qui envoie en votre nom. Comptez une heure, puis quelques semaines de rapports avant de durcir DMARC.
Listez tout ce qui envoie en votre nom : la boîte mail, le logiciel de devis et de factures, la newsletter, le formulaire du site. Un seul TXT à la racine du domaine, v=spf1, l’include de chaque service, puis ~all. Vérifiez que l’ensemble reste sous 10 consultations DNS, inclusions comprises.
Chaque service qui envoie doit signer : activez DKIM dans son espace d’administration (chez Google Workspace, attendez 24 à 72 h après l’activation de Gmail pour obtenir la clé), puis publiez le TXT ou le CNAME donné sous <sélecteur>._domainkey.votredomaine. Préférez une clé de 2 048 bits, découpée en chaînes de 255 caractères si votre éditeur de zone l’exige.
Google demande d’attendre 48 heures après SPF et DKIM. Publiez alors sous _dmarc.votredomaine : v=DMARC1; p=none; rua=mailto:dmarc@votredomaine, vers une boîte dédiée (Microsoft conseille une boîte partagée, pas la vôtre). Cette politique n’arrête rien : elle vous envoie les rapports.
Relancez cet outil, envoyez un mail à une boîte Gmail et ouvrez « Afficher l’original » : SPF, DKIM et DMARC doivent afficher PASS. Lisez les rapports pendant plusieurs semaines (OVH le conseille), passez à p=quarantine avec pct=10 puis 100, et enfin à p=reject quand plus aucun envoi légitime n’échoue.
Questions fréquentes
Oui. Le seuil de 5 000 messages par jour n’existe que chez Google et Microsoft, et ne concerne que leurs boîtes. Orange exige désormais SPF, DKIM et DMARC de tous les expéditeurs (règles mises à jour le 1er septembre 2026), laposte.net depuis septembre 2025, iCloud sans seuil. Et même chez Gmail, un mail sans SPF ni DKIM peut être refusé avec l’erreur 5.7.26 dès le premier envoi. Un artisan qui écrit à des clients en @orange.fr est concerné dès son premier devis.
Pour être accepté, souvent oui : Gmail et Outlook.com acceptent p=none pour les gros expéditeurs, et Orange demande un DMARC sans préciser la politique. Mais p=none n’arrête rien : un mail usurpé passe comme les vôtres. C’est le point de départ, avec une adresse rua= pour recevoir les rapports. Après quelques semaines sans échec sur vos envois légitimes, passez en p=quarantine (d’abord pct=10), puis en p=reject.
Parce que le SPF seul ne suffit plus : Orange, laposte.net et iCloud veulent aussi DKIM et DMARC. Et le SPF posé par l’hébergeur ne couvre que sa boîte mail : le logiciel de devis, la newsletter ou le formulaire du site qui envoient en votre nom n’y figurent pas, et leurs mails échouent. Enfin, l’authentification n’est qu’une partie du filtrage : la réputation de l’IP, le contenu et les plaintes comptent aussi.
Pas forcément. L’outil sonde les sélecteurs documentés par votre fournisseur et une vingtaine de sélecteurs courants. OVH (ovhmo<id>-selector1), Amazon SES (sélecteurs aléatoires) et Zoho (sélecteur choisi par vous) ne se devinent pas. Pour vérifier : envoyez-vous un mail, ouvrez l’en-tête complet, cherchez la ligne DKIM-Signature ; la valeur s= est votre sélecteur, et d= le domaine signataire. Si cette ligne n’existe pas, le service n’a pas activé DKIM.
D’abord ce test : un SPF cassé, une clé DKIM révoquée ou un DMARC mal formé expliquent un changement brutal. Ensuite, envoyez un mail à une boîte Gmail et ouvrez « Afficher l’original » : les lignes SPF, DKIM et DMARC disent lequel échoue. Si tout passe, regardez le contenu (lien raccourci, pièce jointe inhabituelle, nouveau logiciel d’envoi) et inscrivez le domaine dans Google Postmaster Tools pour lire sa réputation. Depuis novembre 2025, Gmail rejette de façon progressive les messages non conformes.
mail-tester note un envoi précis, depuis l’outil que vous avez utilisé pour lui écrire. Il ne dit rien des autres services qui envoient en votre nom, ni de l’historique de votre domaine chez chaque messagerie, ni de la réaction des destinataires. Un 10/10 avec votre boîte mail ne garantit pas le logiciel de factures. Cet outil, lui, lit la configuration du domaine pour tous les services listés dans votre SPF. Les deux sont complémentaires.
Le nom sous lequel la clé publique est publiée dans votre DNS : <sélecteur>._domainkey.votredomaine. Il permet à un domaine d’avoir plusieurs clés, une par service d’envoi, et de les faire tourner. Google utilise google, Microsoft selector1 et selector2, o2switch et LWS default, Gandi gm1 à gm3, Mailjet mailjet, Brevo brevo1 et brevo2. Chaque mail signé indique son sélecteur dans l’en-tête DKIM-Signature (s=).
Le diagnostic est gratuit : cet outil, puis ma lecture sous 24 h si vous m’envoyez votre domaine. La mise en place se fait sur devis, selon votre hébergeur, le nombre de logiciels qui envoient en votre nom et l’état du SPF existant : c’est en général quelques heures de travail, puis un ou deux rendez-vous espacés de plusieurs semaines pour passer DMARC en quarantine puis en reject après lecture des rapports.
Blog
La faille PHP d’octobre 2026, les vérifications d’un site WordPress piraté, et ce que change la facture électronique pour un artisan : trois lectures pour les mêmes TPE.
Deux failles critiques dans PHP ont été corrigées le 21 octobre 2026. Sites WordPress, boutiques PrestaShop ou WooCommerce, logiciels métier, intranets : qui est concerné, ce que fait votre hébergeur, et quoi faire aujourd’hui.
Depuis le 18 octobre 2026, des clés UpdraftCentral volées servent à poser de fausses extensions et des comptes cachés sur des sites WordPress, y compris des sites à jour. Les sept vérifications à faire aujourd'hui, dans l'ordre où je les fais sur un site client.
Depuis septembre 2026, vous devez pouvoir recevoir des factures électroniques ; en 2027, vous devrez en émettre. Ce qui change pour un artisan et comment s'y préparer.
Envoyez-moi votre nom de domaine et votre hébergeur. Je mets SPF, DKIM et DMARC en place dans votre zone DNS, je vérifie en envoyant des mails de test et je vous écris ce qui a été fait. Diagnostic gratuit sous 24 h, devis avant toute intervention.