Méthode et calcul de la note
Ce que Domain Check vérifie, la note que donne chaque situation et la façon dont ces notes se combinent. Les règles publiées ici sont exactement celles de l'outil.
Le principe du test
Domain Check lit les enregistrements DNS publics d'un domaine, ceux que consulte tout serveur de messagerie qui reçoit un e-mail en son nom. Il ne se connecte à aucun serveur de messagerie et n'envoie aucun e-mail.
- Dans votre navigateur. Les requêtes partent de votre navigateur en DNS-over-HTTPS vers le résolveur public de Cloudflare (
cloudflare-dns.com). Celui de Google (dns.google) prend le relais en cas d'erreur réseau, de réponse HTTP invalide ou de délai dépassé. - Des délais bornés. 5 secondes au plus par requête et 25 secondes pour l'ensemble de l'analyse. Un contrôle qui n'a pas abouti à temps est marqué « non vérifiable » (délai dépassé).
- Un domaine qui existe. L'outil interroge d'abord les enregistrements SOA et NS du domaine. Si le DNS répond que le domaine n'existe pas, l'analyse s'arrête là.
- Cinq contrôles. MX, SPF, DKIM, DMARC et listes noires. Chacun reçoit une note sur 100 et des constats classés par gravité : Critique, À corriger, Information ou Conforme.
Dans chaque contrôle, quand plusieurs situations s'appliquent, la note de départ est celle de la plus grave (la plus basse du tableau). Les ajustements sont ensuite appliqués, sans descendre sous 0.
Le calcul de la note globale
La note globale est la moyenne des notes des contrôles, pondérée selon leur rôle dans la protection du domaine :
Note = arrondi( Σ (poids × note du contrôle) ÷ Σ (poids des contrôles vérifiables) )
| Contrôle | Ce qu'il protège | Poids |
|---|---|---|
| DMARC | La consigne donnée aux destinataires face à une usurpation | 30 |
| SPF | La liste des serveurs autorisés à envoyer | 25 |
| DKIM | La signature des e-mails | 25 |
| MX | La réception des e-mails | 10 |
| Listes noires | La réputation des adresses IP d'envoi | 10 |
- Plafond à 49. Un SPF qui se termine par
+all, ou une adresse IP sur liste noire, limitent la note globale à 49, quelles que soient les autres notes. Ces deux failles suffisent à compromettre la messagerie. - Note partielle. Un contrôle non vérifiable est exclu du calcul et les poids des autres sont recalculés. La note est alors signalée comme partielle, avec la liste des contrôles exclus. Un contrôle sans objet est exclu de la même façon, sans rendre la note partielle.
| Note | Niveau |
|---|---|
| 80 et plus | Bon |
| 50 à 79 | À améliorer |
| Moins de 50 | Critique |
Un exemple chiffré
Prenons exemple.nc : des MX corrects (100), un SPF en ~all (80), une clé DKIM de 2048 bits (100), un DMARC en p=none avec rapports (30) et aucune adresse IP sur liste noire (100).
| Contrôle | Poids × note |
|---|---|
| MX | 10 × 100 = 1 000 |
| SPF | 25 × 80 = 2 000 |
| DKIM | 25 × 100 = 2 500 |
| DMARC | 30 × 30 = 900 |
| Listes noires | 10 × 100 = 1 000 |
| Note globale | 7 400 ÷ 100 = 74, à améliorer |
Passer DMARC en p=reject fait monter DMARC à 100, et le SPF en ~all à 100 lui aussi, puisque DMARC rejette désormais les e-mails usurpés : la note globale atteint 100. Si les adresses IP du domaine sont celles d'un fournisseur partagé, les listes noires sont sans objet et le total est divisé par 90 au lieu de 100.
« Sans objet » ou « non vérifiable »
Un contrôle peut ne pas recevoir de note pour deux raisons très différentes, que l'outil distingue toujours :
- Sans objet : le contrôle ne s'applique pas. DKIM et listes noires pour un domaine qui n'envoie pas d'e-mails, ou listes noires quand les adresses d'envoi sont partagées par un grand fournisseur (Microsoft 365, Google Workspace…).
- Non vérifiable : le contrôle s'applique, mais l'outil n'a pas pu conclure. Le DNS n'a pas répondu, le délai est dépassé, la clé DKIM utilise un sélecteur propre à votre compte, ou aucune liste noire n'a répondu correctement.
Une erreur DNS n'est jamais une absence. Si le DNS est injoignable (les deux résolveurs en échec ou hors délai) ou s'il répond par une erreur (SERVFAIL, REFUSED…), le point est « non vérifiable ». L'outil ne conclut jamais « aucun SPF » ou « aucun DMARC » sur une requête qui n'a pas abouti. Seule une réponse valide du DNS, vide ou « nom inexistant », permet de dire qu'un enregistrement manque.
Le profil « domaine sans messagerie »
Beaucoup de domaines n'envoient aucun e-mail : noms protégés contre le typosquattage, anciennes marques, sites vitrines. Ils doivent le déclarer, sinon n'importe qui peut s'en servir pour usurper votre identité.
- Un domaine est non émetteur si son SPF est exactement
v=spf1 -all, sans autre mécanisme. - Il est non récepteur s'il publie un null MX : un seul enregistrement MX de priorité 0 vers la cible
..
Le profil est affiché en tête du résultat. Pour un domaine non émetteur :
- le SPF
-allvaut 100 ; - DKIM et listes noires sont sans objet ;
- DMARC vaut 100 en
reject, 70 enquarantine, 20 ennoneet 0 s'il est absent. L'enregistrement recommandé estv=DMARC1; p=reject;.
Serveurs de messagerie (MX), poids 10
L'outil lit les enregistrements MX du domaine, en traite 10 au plus (par ordre de priorité), puis cherche l'adresse IPv4 (A), à défaut IPv6 (AAAA), de chaque serveur. Il identifie aussi le fournisseur de réception d'après le nom des serveurs : Microsoft 365, Google Workspace, OVHcloud, passerelles de filtrage, opérateurs de Nouvelle-Calédonie et de Polynésie française…
| Situation | Note | Gravité |
|---|---|---|
| MX présents, tous résolus en adresse IP | 100 | Conforme |
Null MX (0 .) : le domaine ne reçoit pas d'e-mail | 100 | Information |
| MX qui pointe vers une adresse IP ou vers un alias (CNAME), ce qu'interdit la RFC 5321 | 70 | À corriger |
| Au moins un MX introuvable | 50 | À corriger |
| Aucun MX : les expéditeurs se replient sur l'adresse du site web | 30 | À corriger |
| Aucun MX ne se résout | 0 | Critique |
| Le DNS ne répond pas pour les MX | non vérifiable | Information |
Sans MX, l'outil recommande d'en publier un, ou un null MX si le domaine ne reçoit rien.
SPF, poids 25
L'outil cherche, parmi les enregistrements TXT du domaine, ceux qui commencent par v=spf1. Il évalue l'enregistrement comme le ferait un serveur destinataire, en suivant chaque include et redirect :
- il compte les requêtes DNS (
include,a,mx,ptr,exists,redirect), limitées à 10 par la norme (RFC 7208) ; - il compte les requêtes à réponse vide (nom inexistant ou aucun enregistrement), limitées à 2 ;
- il détecte les boucles d'inclusion ;
- il relève les services d'envoi reconnus dans l'arbre des inclusions (Microsoft 365, Google Workspace, Brevo, Mailchimp…).
| Situation | Note | Gravité |
|---|---|---|
Se termine par -all | 100 | Conforme |
~all avec un DMARC en p=reject appliqué à 100 % des e-mails | 100 | Conforme |
~all dans les autres cas | 80 | À corriger |
?all, ou ni all ni redirect | 30 | À corriger |
Se termine par +all : note globale plafonnée à 49 | 0 | Critique |
| Aucun SPF | 0 | Critique |
| Plusieurs SPF sur le même nom | 0 | Critique |
Mécanisme inconnu, ip4 ou ip6 invalide, erreur de syntaxe | 0 | Critique |
| Plus de 10 requêtes DNS | 0 | Critique |
| Plus de 2 requêtes à réponse vide | 0 | Critique |
include ou redirect vers un nom sans SPF | 0 | Critique |
| Boucle d'inclusion | 0 | Critique |
Le DNS ne répond pas pour le SPF du domaine ou pour la cible d'un redirect, ou la politique finale dépend d'une macro | non vérifiable | Information |
Toutes les situations à 0 rendent le SPF invalide aux yeux des destinataires (erreur permanente, « permerror »). Ajustements, appliqués ensuite :
- mécanisme
ptrdans un enregistrement de votre domaine, déconseillé par la norme (celui qui figure dans l'included'un hébergeur ou d'un service d'envoi n'est pas pénalisé, car vous ne pouvez pas le corriger) : −10, À corriger ; - 8 à 10 requêtes DNS, proche de la limite : −5, Information.
Si le DNS ne répond pas pour un include ou pour un mécanisme a ou mx, le point est signalé en information, sans pénalité.
DKIM, poids 25
Une clé DKIM est publiée sous un nom de la forme <sélecteur>._domainkey.exemple.nc. Le DNS ne permet pas de lister les sélecteurs d'un domaine : l'outil interroge donc 57 sélecteurs courants, ceux de Microsoft 365 (selector1, selector2), de Google Workspace (google), de Zoho, Proton, Fastmail, iCloud+, Gandi, Mailchimp, SendGrid, Brevo, HubSpot…, plus jusqu'à 10 sélecteurs que vous saisissez vous-même.
- Un enregistrement est retenu s'il contient
v=DKIM1ou une balisep=. - La longueur d'une clé RSA est mesurée exactement, en lisant la clé publique elle-même. Une clé Ed25519 est considérée comme forte.
- Une clé révoquée (
p=vide) est signalée en information et ne compte pas comme une clé valide. - Cas Microsoft 365. Si
selector1ouselector2est un alias (CNAME) vers Microsoft mais qu'aucune clé n'est publiée au bout, les enregistrements sont en place mais la signature n'a pas été activée dans Microsoft 365.
| Situation | Note | Gravité |
|---|---|---|
| Meilleure clé : RSA de 2048 bits ou plus, ou Ed25519 | 100 | Conforme |
| Meilleure clé : RSA de 1024 à 2047 bits | 70 | À corriger |
| Meilleure clé : RSA de moins de 1024 bits | 20 | Critique |
| Microsoft 365 : enregistrements publiés, signature non activée | 20 | Critique |
| Aucune clé, alors que le fournisseur utilise des sélecteurs connus (Microsoft 365, Google Workspace, Zoho, Proton, Fastmail, iCloud+, Gandi) | 0 | Critique |
| Aucune clé, fournisseur inconnu ou à sélecteurs propres à chaque client (OVHcloud, Amazon SES, Postmark…) | non vérifiable | Information |
| Domaine qui n'envoie pas d'e-mails | sans objet | Information |
| Le DNS ne répond pour aucun sélecteur | non vérifiable | Information |
Ajustement : si toutes les clés trouvées sont en mode test (t=y), −20, À corriger. Quand le contrôle est non vérifiable, le champ « Sélecteur personnalisé » est mis en avant : il relance uniquement DKIM et recalcule la note.
DMARC, poids 30
L'outil cherche, sur le nom _dmarc.exemple.nc, l'enregistrement TXT qui commence par v=DMARC1, puis lit les balises p, sp, np, adkim, aspf, pct, rua, ruf et fo. Les valeurs invalides sont signalées.
Sous-domaines. Si un sous-domaine comme mail.exemple.nc n'a pas son propre DMARC, l'outil remonte vers le domaine parent, une étiquette à la fois, sans aller jusqu'à l'extension (.nc). Il applique alors la politique sp du parent, ou à défaut sa politique p, et l'indique en information.
| Situation | Note | Gravité |
|---|---|---|
p=reject appliqué à 100 % des e-mails | 100 | Conforme |
p=reject avec pct inférieur à 100 | 80 | À corriger |
p=quarantine appliqué à 100 % des e-mails (étape suivante : reject) | 80 | Conforme |
p=quarantine avec pct inférieur à 100 | 60 | À corriger |
p=none : surveillance seulement | 30 | À corriger |
| Aucun DMARC | 0 | Critique |
| Plusieurs enregistrements DMARC | 0 | Critique |
Balise p absente ou invalide | 0 | Critique |
| Le DNS ne répond pas | non vérifiable | Information |
Ajustements, appliqués ensuite (sans descendre sous 0) :
- aucune adresse de rapport
rua: −10, À corriger ; - rapports envoyés vers un domaine externe qui n'a pas publié d'autorisation (un TXT
v=DMARC1surexemple.nc._report._dmarc.<domaine-externe>) : −5, À corriger ; sp=nonealors que la politique principale est plus stricte : −10, À corriger.
Pour un domaine qui n'envoie pas d'e-mails, la grille du profil sans messagerie s'applique, sans ces ajustements.
Listes noires, poids 10
Une liste noire (DNSBL) recense les adresses IP qui ont envoyé du spam. Une adresse listée voit ses e-mails refusés ou classés en indésirables chez de nombreux destinataires.
Adresses testées, 10 au plus, en IPv4 :
- les adresses des serveurs MX qui ne sont pas reconnus comme ceux d'un fournisseur (serveur propre au domaine) ;
- les adresses
ip4:isolées (sans masque, ou en /32) écrites dans le SPF du domaine.
Les serveurs MX de tous les fournisseurs reconnus ne sont pas testés, car leurs adresses sont partagées : les suites (Microsoft 365, Google Workspace, Zoho, Proton, Fastmail, iCloud+, Amazon WorkMail, Yandex 360), les hébergeurs (OVHcloud, Gandi, Infomaniak, IONOS, Hostinger, o2switch, GoDaddy), les passerelles de filtrage (Mailinblack, Altospam, Vade, Mimecast, Proofpoint, Barracuda, Cisco Secure Email, Trend Micro, Sophos, Hornetsecurity) et les opérateurs locaux (Lagoon, Can'l, MLS, Nautile, Prolan). Leurs adresses servent de nombreux clients et le fournisseur gère lui-même leur réputation : sans adresse ip4: isolée dans le SPF, le contrôle est alors sans objet.
| Liste | Zone | Codes « listé » |
|---|---|---|
| SpamCop | bl.spamcop.net | 127.0.0.2 |
| PSBL | psbl.surriel.com | 127.0.0.2 |
| UCEPROTECT niveau 1 | dnsbl-1.uceprotect.net | 127.0.0.2 |
| DroneBL | dnsbl.dronebl.org | 127.0.0.3 à 127.0.0.255 |
| 0spam | bl.0spam.org | 127.0.0.1 à 127.0.0.254 |
Le contrôle « canari »
Une liste noire qui refuse de répondre peut renvoyer une réponse qui ressemble à « non listé ». Pour ne jamais conclure à tort qu'une adresse est propre, l'outil interroge d'abord, pour chaque liste, son entrée de test 2.0.0.127.<zone>, qui doit toujours renvoyer un code. DroneBL, par exemple, y répond 127.0.0.1.
- La liste est jugée vérifiable si cette entrée renvoie au moins une adresse dans
127.0.0.0/8, hors127.255.255.0/24. - Sinon (nom inexistant, erreur, autre code), la liste est non vérifiable pour cette analyse et n'est pas prise en compte.
- Pour une adresse testée, un code hors
127.0.0.0/8, ou en127.255.255.x, est toujours traité comme une erreur, jamais comme « non listé ». - Une adresse qui n'a pu être vérifiée sur aucune liste est signalée en information (« vérification partielle »), sans pénalité.
| Situation | Note | Gravité |
|---|---|---|
| Aucune adresse listée sur les listes vérifiables | 100 | Conforme |
| Au moins une adresse listée : note globale plafonnée à 49 | 0 | Critique |
| Adresses partagées d'un fournisseur reconnu, ou domaine qui n'envoie pas d'e-mails | sans objet | Information |
| Aucune adresse à tester, ou aucune liste vérifiable | non vérifiable | Information |
Les listes écartées
- Spamhaus refuse les requêtes qui passent par les résolveurs publics. Cloudflare renvoie le code d'erreur
127.255.255.254, et Google une réponse « nom inexistant » qui ressemble à tort à « non listé ». Son usage gratuit est de plus réservé aux usages non commerciaux. - Barracuda exige un enregistrement préalable de l'utilisateur.
- Manitu ne répond pas aux requêtes DNS-over-HTTPS.
- Mailspike : ses conditions d'utilisation sont introuvables sur son site actuel, et l'usage commercial n'est pas confirmé.
Ce que l'outil ne peut pas vérifier
- Les sélecteurs DKIM propres à chaque client. OVHcloud, Amazon SES, Postmark et d'autres attribuent un sélecteur unique à chaque compte. S'il ne figure pas parmi les 57 sélecteurs testés, DKIM est non vérifiable : saisissez-le dans le champ « Sélecteur personnalisé ». Vous le trouverez dans l'en-tête
DKIM-Signatured'un e-mail envoyé (valeurs=). - Les boîtes aux lettres derrière une passerelle de filtrage. Quand le MX est une passerelle (Mailinblack, Vade, Mimecast…), l'outil voit la passerelle, pas la messagerie qui se trouve derrière. Il la déduit quand il le peut des autres enregistrements, par exemple un SPF qui inclut Microsoft 365.
- Ce qui se passe à l'intérieur de la messagerie. Comptes sans double authentification, règles de transfert, filtrage antispam : rien de cela n'est visible dans le DNS public.
- Un instantané. Le résultat reflète le DNS au moment de l'analyse, tel que le voient les résolveurs de Cloudflare et de Google. Une modification récente peut ne pas encore être visible.
Hors périmètre : MTA-STS, TLS-RPT, BIMI, DNSSEC, CAA et les listes noires de noms de domaine.
Vie privée
- Toutes les requêtes partent de votre navigateur vers les résolveurs DNS publics de Cloudflare (
cloudflare-dns.com) et, en secours, de Google (dns.google), qui les traitent selon leurs propres politiques de confidentialité. - L'analyse n'envoie rien à SF2i : ni le domaine analysé, ni le résultat.
- Le site ne dépose aucun cookie, n'utilise aucun stockage local et ne mesure pas l'audience.
- Le rapport PDF est produit par votre navigateur. Le bouton « Contacter SF2i » ouvre le formulaire de contact avec un résumé du résultat, que vous pouvez modifier : rien ne part tant que vous ne l'envoyez pas.
Le détail figure dans les mentions légales.
Testez votre domaine. L'analyse prend quelques secondes et applique exactement ces règles. Lancer le test