Questions fréquentes

Oui. Domain Check est un outil gratuit du groupe SF2i, sans inscription et sans compte. Vous pouvez analyser autant de domaines que nécessaire et enregistrer le rapport PDF.

Non. L'analyse se fait dans votre navigateur, à partir des données DNS publiques du domaine. Le domaine saisi n'est envoyé qu'aux résolveurs DNS publics de Cloudflare et, en secours, de Google : SF2i ne le reçoit pas et ne conserve rien. Le site ne dépose aucun cookie et n'utilise ni stockage local, ni mesure d'audience.

Cinq points, ceux que consulte tout serveur qui reçoit un e-mail à votre nom : les serveurs de messagerie (MX), la liste des serveurs autorisés à envoyer (SPF), la signature des e-mails (DKIM), la politique contre l'usurpation (DMARC) et la présence de vos adresses IP de messagerie sur cinq listes noires publiques. Pour chaque point, il explique le constat et propose, quand c'est possible, l'enregistrement DNS corrigé, prêt à copier.

Chaque contrôle reçoit une note sur 100. La note globale en est la moyenne pondérée : DMARC 30, SPF 25, DKIM 25, MX 10 et listes noires 10. Un SPF en +all ou une adresse IP sur liste noire plafonnent la note à 49. Un point non vérifiable est exclu du calcul, et la note est alors signalée comme partielle. Elle est jugée bonne à partir de 80, à améliorer de 50 à 79 et critique en dessous de 50. Le détail de chaque règle figure sur la page Méthode.

Une clé DKIM est publiée sous un nom choisi par votre fournisseur, le sélecteur, et le DNS ne permet pas de lister les sélecteurs d'un domaine. Domain Check en teste 57 parmi les plus courants. Si aucun ne correspond et que votre fournisseur attribue un sélecteur propre à chaque client, comme OVHcloud ou Amazon SES, l'outil ne peut pas conclure : DKIM est exclu de la note plutôt que compté comme absent. Saisissez votre sélecteur dans le champ « Sélecteur personnalisé » du résultat pour le vérifier. DKIM est aussi non vérifiable quand le DNS ne répond pas.

Le sélecteur est le nom de votre clé DKIM : elle est publiée sur <sélecteur>._domainkey.<votre domaine>. Pour le trouver, ouvrez un e-mail que vous avez envoyé et affichez sa source (« Afficher l'original » dans Gmail, propriétés ou source du message dans Outlook). Dans l'en-tête DKIM-Signature, la valeur s= est le sélecteur et d= le domaine signataire. Microsoft 365 utilise selector1 et selector2, Google Workspace utilise google.

Oui, c'est l'objectif : seul p=reject fait refuser les e-mails qui usurpent votre domaine. Mais pas d'emblée. Commencez par p=none avec une adresse de rapports (rua), repérez dans les rapports tous les services qui envoient en votre nom et corrigez leur SPF ou leur DKIM, puis passez à p=quarantine et enfin à p=reject. Comptez quelques semaines. Un domaine qui n'envoie aucun e-mail peut passer directement en p=reject.

-all demande de refuser les serveurs non autorisés, ~all seulement de les marquer comme suspects. Une fois tous vos services d'envoi listés dans le SPF, -all est la terminaison recommandée. Avec un DMARC en p=reject appliqué à tous les e-mails, ~all suffit : c'est DMARC qui fait rejeter les usurpations, et Domain Check donne alors aussi la note maximale au SPF. Sans DMARC en rejet, ~all vaut 80 sur 100. N'utilisez jamais +all ni ?all.

Déclarez-le, sinon il reste utilisable pour usurper votre nom. Publiez un SPF v=spf1 -all sur le domaine et un DMARC v=DMARC1; p=reject; sur le nom _dmarc. S'il ne reçoit pas non plus d'e-mail, publiez un null MX : un seul enregistrement MX, de priorité 0, vers la cible « . ». Domain Check reconnaît ce profil : DKIM et listes noires sont alors sans objet.

Cherchez d'abord la cause : compte de messagerie piraté, poste infecté, formulaire de site détourné ou serveur mal configuré. Corrigez-la, puis demandez le retrait de l'adresse sur le site de la liste concernée ; sans correction, elle sera listée à nouveau. Tant qu'une adresse est listée, Domain Check plafonne la note globale à 49. Les adresses partagées des fournisseurs reconnus (suites comme Microsoft 365 ou Google Workspace, hébergeurs comme OVHcloud, passerelles de filtrage, opérateurs locaux comme Lagoon) ne sont pas testées : leur réputation est gérée par le fournisseur.

Spamhaus refuse les requêtes qui passent par les résolveurs DNS publics, ceux qu'utilise Domain Check depuis votre navigateur. Cloudflare renvoie un code d'erreur, et Google une réponse qui ressemble à tort à « non listé » : le résultat serait trompeur. Son usage gratuit est de plus réservé aux usages non commerciaux. Domain Check interroge cinq autres listes publiques, SpamCop, PSBL, UCEPROTECT niveau 1, DroneBL et 0spam, chacune contrôlée avant usage par son entrée de test.

Le plus souvent, de quelques minutes à quelques heures. Chaque enregistrement a une durée de conservation en cache, le TTL : tant qu'elle n'est pas écoulée, les résolveurs, dont ceux de Cloudflare et de Google qu'utilise Domain Check, peuvent encore servir l'ancienne valeur. Comptez au moins la durée de l'ancien TTL, souvent une heure ; certains hébergeurs annoncent jusqu'à 48 heures. Relancez ensuite l'analyse.

Oui. SF2i accompagne les entreprises en Nouvelle-Calédonie, en Polynésie française et en France dans la sécurisation de leur messagerie : SPF, DKIM, DMARC, passage progressif à p=reject et suivi des rapports. Écrivez-nous avec le formulaire de contact. Après une analyse, le bouton « Contacter SF2i » ouvre ce formulaire avec un résumé de votre résultat.