Collez vos enregistrements MX, SPF, DKIM et DMARC et obtenez un rapport de délivrabilité noté avec une correction pour chaque problème — analysé sur votre appareil, jamais envoyé.
Bilan de santé du domaine e-mail
Collez vos enregistrements MX, SPF, DKIM et DMARC et obtenez un rapport de délivrabilité noté avec une correction pour chaque problème — analysé sur votre appareil, jamais envoyé.
Le bilan de santé du domaine e-mail fonctionne entièrement dans votre navigateur. Les enregistrements collés sont analysés sur votre appareil : aucune requête DNS n’est faite et rien n’est envoyé ni stocké.
Le bilan de santé du domaine e-mail lit les enregistrements DNS qui décident si les messages de votre domaine arrivent en boîte de réception ou dans les indésirables, puis les note. Collez la sortie de dig ou de nslookup, ou n’importe quelles lignes d’un fichier de zone, et l’outil trie seul MX, SPF, DKIM, DMARC, MTA-STS, TLS-RPT et BIMI. Chaque enregistrement est validé selon sa spécification, puis recoupé avec les autres : une politique DMARC sans SPF ni DKIM derrière, une politique MTA-STS qui oublie l’un de vos hôtes MX, un logo BIMI sans politique DMARC appliquée. Vous obtenez une note sur 100, une lettre et une correction en langage clair pour chaque constat. Tout est analysé sur votre appareil ; aucune requête DNS n’est faite et rien n’est envoyé.
Fonctionnalités
Détecte les enregistrements MX, SPF, DKIM, DMARC, MTA-STS, TLS-RPT et BIMI en un seul collage
Lit les lignes de fichier de zone, la sortie de dig, celle de nslookup et les valeurs TXT brutes
Note de 0 à 100 avec une lettre et une correction rédigée pour chaque constat
Recoupe les enregistrements : DMARC sans SPF ni DKIM, hôtes MX absents d’une politique MTA-STS, BIMI sans application
Repère les enregistrements publiés au mauvais nom, comme DMARC à la racine au lieu de _dmarc
Signale les SPF et DMARC en double, +all, les plages ip4 démesurées et les clés DKIM trop courtes
Reconnaît les fournisseurs de messagerie courants d’après les hôtes MX et signale un include SPF manquant
Copie le rapport complet en texte brut pour un ticket ou un client
Comment utiliser Bilan de santé e-mail
Exécutez les commandes dig listées sous « Comment obtenir ces enregistrements » et copiez leur sortie
Collez la sortie dans la zone ; le domaine est déduit, ou saisissez-le pour vérifier où chaque enregistrement est publié
Lisez la note, puis ouvrez chaque carte pour voir ses constats, erreurs en premier
Corrigez les enregistrements chez votre hébergeur DNS, attendez le TTL et collez à nouveau pour confirmer
Exemple
Entrée
3 MX records at Google Workspace · SPF with SendGrid ~all · DKIM 2048-bit · DMARC p=none
Sortie
Score 83/100, grade B — SPF pass · DKIM pass · MX pass · DMARC review: p=none only monitors
Tous les enregistrements existent et sont valides ; seule une politique DMARC de simple surveillance retient la note.
Erreurs courantes et dépannage
DMARC apparaît comme non collé alors que vous l’avez publié. — DMARC n’est lu qu’à _dmarc.votredomaine, en enregistrement TXT. Un enregistrement placé au domaine nu, ou à dmarc sans le tiret bas, n’est jamais trouvé. Beaucoup d’interfaces DNS ajoutent le domaine d’elles-mêmes : saisissez seulement _dmarc comme hôte.
SPF est signalé en échec avec deux enregistrements. — Un domaine ne peut avoir qu’un seul enregistrement SPF. Avec deux, les récepteurs renvoient une erreur permanente et ignorent SPF entièrement. Fusionnez tous les mécanismes include, ip4 et ip6 en une seule chaîne v=spf1 et supprimez l’autre.
La vérification DKIM ne trouve rien. — Les vérificateurs interrogent <selector>._domainkey.<domaine>, et le sélecteur est la valeur s= de l’en-tête DKIM-Signature d’un message réellement envoyé. Un sélecteur deviné renvoie une réponse vide ; copiez le vrai dans les en-têtes d’un message.
La note reste à B alors que tous les enregistrements sont présents. — Une politique DMARC none ne fait que surveiller, donc le rapport marque DMARC à revoir. Lisez vos rapports agrégés, corrigez les expéditeurs en échec, puis passez la politique à quarantine et enfin à reject.
Foire aux questions
Que teste exactement un bilan de santé du domaine e-mail ?
Il teste les enregistrements DNS que les systèmes de messagerie consultent avant de faire confiance à votre domaine : MX pour la réception, SPF pour les serveurs autorisés à envoyer, DKIM pour la clé de signature, DMARC pour la politique en cas d’échec, et en option MTA-STS, TLS-RPT et BIMI. La syntaxe de chacun et son accord avec les autres sont vérifiés.
Pourquoi coller des enregistrements au lieu de saisir mon domaine ?
Interroger un domaine reviendrait à envoyer son nom à un résolveur DNS externe, alors qu’ArrayKit garde votre travail sur votre appareil. Coller prend quelques secondes avec les commandes dig affichées sur la page, et cela permet aussi de vérifier des enregistrements pas encore publiés.
Quels enregistrements Gmail et Yahoo attendent-ils des expéditeurs en masse ?
Depuis février 2024, tous deux exigent des expéditeurs en masse, environ 5 000 messages par jour ou plus vers leurs utilisateurs, SPF, DKIM et un enregistrement DMARC d’au moins p=none, le domaine du From étant aligné sur l’un d’eux. Les petits expéditeurs n’échappent pas pour autant au filtre anti-spam.
Qu’apportent MTA-STS et TLS-RPT en plus de SPF, DKIM et DMARC ?
SPF, DKIM et DMARC prouvent qui a envoyé un message. MTA-STS demande aux autres serveurs de ne livrer chez vous qu’en TLS validé, ce qui bloque les attaques par rétrogradation, et TLS-RPT vous envoie des rapports en cas d’échec. Ils protègent la livraison vers votre domaine, pas le courrier qui en sort.
Comment trouver le sélecteur DKIM à coller ?
Envoyez un message à n’importe quelle boîte, ouvrez sa source d’origine et cherchez l’en-tête DKIM-Signature. La valeur s= est le sélecteur et d= le domaine. La console d’administration de votre fournisseur de messagerie liste aussi les sélecteurs configurés, comme google ou selector1.