Saisissez votre domaine une seule fois : nous contrôlons ensemble SPF, DKIM, DMARC, BIMI et la liste noire de domaines SURBL, puis nous notons votre configuration de 0 à 100. L’analyse est gratuite, tourne dans votre navigateur via DNS-over-HTTPS, détecte automatiquement votre sélecteur DKIM et ne conserve rien.
Créez un compte Unspam gratuit pour enregistrer vos résultats et relancer ces vérifications à tout moment, afin de repérer une configuration défaillante avant qu’elle ne vous coûte cher. Sans carte bancaire.
Il s’agit d’une analyse unique portant sur les cinq signaux DNS que les fournisseurs de messagerie évaluent avant d’accorder leur confiance à vos envois. Elle lit votre enregistrement SPF, trouve votre clé DKIM en sondant les sélecteurs courants des fournisseurs, lit votre politique DMARC, cherche un enregistrement de logo BIMI et interroge la liste noire de domaines SURBL. Chaque résultat est noté puis agrégé en un score unique, où les enregistrements d’authentification (SPF, DKIM, DMARC) pèsent le plus lourd, parce qu’ils décident si Gmail, Yahoo et Microsoft acceptent vos messages au regard de leurs règles 2024 et 2025 pour les gros expéditeurs. Toutes les requêtes sont en lecture seule et s’exécutent entièrement dans votre navigateur : rien n’est écrit dans votre DNS et rien n’est conservé chez nous. Utilisez-le comme un premier passage rapide, puis ouvrez un contrôle précis pour le détail complet.
Le score est pondéré sur les contrôles que nous pouvons évaluer de façon concluante. SPF, DKIM et DMARC pèsent le plus lourd, car ils déterminent si les serveurs de réception font confiance à vos envois. Un contrôle réussi obtient tous les points, un avertissement la moitié, un échec zéro. Les contrôles que nous ne pouvons pas évaluer, comme un enregistrement BIMI facultatif que vous n’avez pas publié ou une clé DKIM sous un sélecteur personnalisé que nous ne pouvons pas deviner, sont marqués comme informatifs et exclus du score plutôt que retenus contre vous.
Ces trois enregistrements d’authentification constituent le socle. SPF indique qui peut envoyer pour votre domaine, DKIM signe vos messages, et DMARC dit aux serveurs de réception quoi faire lorsque les deux premiers échouent à l’alignement. Gmail, Yahoo et Microsoft les exigent désormais des gros expéditeurs : une lacune ici est la première chose à corriger.
DKIM se publie par sélecteur, non par domaine : nous sondons donc une liste de sélecteurs courants (google, selector1, k1, s1 et d’autres). Si votre domaine utilise un sélecteur personnalisé que nous ne pouvons pas deviner, le résultat indique « non détecté », ce qui n’est pas concluant plutôt qu’un échec confirmé, et reste donc hors du score. Ouvrez le DKIM checker pour saisir votre sélecteur exact.
BIMI est l’enregistrement facultatif de logo de marque que les boîtes compatibles affichent à côté de vos messages. Il ne fonctionne qu’une fois DMARC appliqué : voyez-le donc comme une finition, après la réussite des enregistrements de base. Si vous n’avez pas publié d’enregistrement BIMI, il est marqué facultatif et exclu du score.
Nous vérifions si votre domaine apparaît sur SURBL, une liste que les filtres antispam utilisent pour évaluer les liens présents dans un message. Une inscription peut nuire à la distribution de chaque message qui mentionne votre domaine, même envoyé depuis une IP irréprochable.
Un enregistrement existe, mais la politique se contente d’observer : les messages usurpés ne sont jamais bloqués et votre score reste plafonné. Servez-vous des rapports agrégés envoyés à votre adresse rua= pour confirmer que vos expéditeurs légitimes passent, puis passez à p=quarantine et enfin à p=reject.
Si vous signez avec un sélecteur personnalisé ou propre à un fournisseur (les jetons Amazon SES et les hachages HubSpot sont impossibles à deviner), l’analyse ne le trouvera pas. Ce n’est pas la preuve que DKIM est absent. Relevez la valeur s= dans un véritable en-tête DKIM-Signature et contrôlez-la directement dans le DKIM checker.
Un enregistrement SPF qui se termine par +all autorise tout le monde, et un enregistrement sans mécanisme all est incomplet. Les deux affaiblissent SPF ou le neutralisent. Terminez l’enregistrement par -all pour un échec strict, ou par ~all le temps de confirmer chaque source légitime.
Des SPF, DKIM et DMARC irréprochables ne vous sauveront pas si votre domaine figure sur SURBL, généralement à cause de liens de spam ou d’un site compromis. Trouvez et corrigez la cause, puis remplissez le formulaire de retrait SURBL une fois les abus arrêtés.
