Générateur SPF et DMARC
Créez les enregistrements SPF et DMARC qui empêchent des tiers d’envoyer des e-mails au nom de votre domaine, prêts à copier dans votre zone DNS.
Rien ne quitte votre navigateur : les enregistrements sont générés et vérifiés sur cette page, sans requête DNS.
Comment ça fonctionne
SPF et DMARC sont des enregistrements DNS TXT qui protègent votre domaine contre l’usurpation d’e-mails. SPF liste les serveurs autorisés à envoyer vos e-mails. DMARC indique aux destinataires que faire lorsqu’un message échoue à la fois à l’alignement SPF et à l’alignement DKIM, et où envoyer les rapports. Le générateur construit les deux enregistrements à partir de vos choix, compte les requêtes SPF et signale les erreurs courantes. Il n’interroge pas le DNS : vérifiez donc les enregistrements publiés une fois en ligne.
Déployer DMARC
Commencez par p=none et une adresse de rapport. Les rapports montrent chaque serveur qui envoie au nom de votre domaine ; corrigez tout expéditeur légitime en échec, généralement en l’ajoutant à SPF ou en activant la signature DKIM. Passez ensuite à quarantine, puis enfin à reject. La RFC 9989 a supprimé l’ancienne balise pct. Son mode test, t=y, demande aux destinataires d’appliquer un cran de moins, mais ceux qui suivent encore la RFC 7489 l’ignorent.
Limites
Les requêtes ne sont comptées qu’au premier niveau, car les enregistrements inclus ne sont pas récupérés. L’outil ne peut pas voir si DKIM est configuré, alors que DMARC en a besoin pour les e-mails transférés.
Questions fréquentes
Faut-il utiliser -all ou ~all ?
Utilisez -all une fois que tous les expéditeurs légitimes sont listés ; ~all est plus tolérant tant que vous les recensez encore. Lorsque DMARC est appliqué, les deux comptent comme un échec SPF.
Pourquoi mon enregistrement DMARC est-il introuvable ?
Vérifiez qu’il se trouve sur _dmarc.votredomaine, qu’il commence par v=DMARC1 et qu’il est le seul. Beaucoup d’interfaces DNS ajoutent votre domaine au nom : saisissez donc seulement _dmarc comme hôte.
Qu’est devenu pct ?
La RFC 9989 a supprimé la balise pct. Pour tester une politique plus stricte, utilisez plutôt t=y et suivez les rapports.
Ai-je aussi besoin de DKIM ?
Oui. DMARC réussit lorsque SPF ou DKIM réussit avec alignement, et DKIM résiste au transfert là où SPF échoue souvent. Activez la signature DKIM avant d’appliquer DMARC.
Besoin d’aller plus loin qu’un outil ?
Un outil vérifie un point précis. Nos consultants examinent l’ensemble.
Conseil et formationArticles liés
-
Repérer un lien d’hameçonnage avant de cliquer
Lisez une URL comme un attaquant la construit : domaine enregistrable, sosies et punycode, astuce du @, redirections ouvertes, raccourcisseurs, extensions.
-
SPF, DKIM et DMARC expliqués : passer sans risque à p=reject
Comment SPF, DKIM et DMARC empêchent l’envoi d’e-mails en votre nom, comment passer sans risque de p=none à p=reject, et les erreurs à éviter.