Vérificateur de posture d'authentification email

Ce que veut vraiment dire la posture d'authentification email

Un contrôle de posture d'authentification email lit les quatre records qui décident si le mail de ton domaine est digne de confiance, puis les note ensemble. Personne ne t'explique ce truc tant que ça ne t'a pas mordu. Gmail, Outlook, Yahoo, La Poste, OVH, en gros toutes les passerelles B2B qui existent, elles ne lisent pas vraiment ton mail pour décider où il atterrit. Elles vérifient une poignée de signaux qu'une machine peut contrôler toute seule, sans aucun humain dans la boucle. Le SPF, c'est la liste d'invités des IP autorisées à envoyer "de la part" de ton domaine. Le DKIM signe chaque message avec une clé privée et range la clé publique correspondante dans le DNS, comme ça le destinataire peut prouver que personne n'a touché au message en route. Le DMARC, c'est le mot que tu laisses à l'entrée : si SPF et DKIM ratent tous les deux, voilà quoi faire (rien, dossier spam, ou porte claquée). Et le BIMI ? C'est la cerise, ton logo vérifié posé à côté de ton nom dans les boîtes qui prennent la peine de l'afficher. Loupe n'importe quoi là-dedans et tu te retrouves à fixer des dossiers spam, un branding arraché au passage, et peut-être un inconnu qui usurpe ton domaine pour phisher les clients mêmes que tu essaies de toucher.

Du coup l'outil sort les quatre records du DNS, lit chacun, le note par rapport à ce qui passe pour raisonnable en 2026, et roule le tout dans un seul score de posture. Aucun agenda commercial câblé dedans. Personne qui attend de te vendre un audit en bas de page. Ce sont exactement les mêmes données que Gmail et Microsoft sont déjà en train de scruter quand ils décident si le mail de ton domaine vaut quelque chose.

Comment le checker interroge le SPF, le DKIM, le DMARC et le BIMI

Sous le capot il tire quatre requêtes DNS-over-HTTPS sur Google Public DNS, toutes en même temps. Les faire les unes après les autres, c'est du temps mort, et personne n'a envie de regarder un spinner. Pour le SPF je récupère le record TXT à l'apex, je jette tout ce qui n'est pas v=spf1, je parcours les include, je compte les lookups DNS par rapport à ce fameux plafond de dix, et je signale les soft fails plus les policies pass-all qui font vraiment peur. Le DMARC sort du TXT à _dmarc.yourdomain : policy (none, quarantine, reject), les modes d'alignement, les adresses de reporting, le pourcentage. Le BIMI vit à default._bimi.yourdomain, et s'il est vraiment là je lis l'URL du logo SVG et, quand il y en a une, l'URL du certificat VMC. Le DKIM, c'est le casse-tête. C'est le seul pilier que tu ne peux pas trouver sans déjà connaître le selector, du coup je lui jette juste les douze suspects habituels (plus ce que tu as tapé dans le champ), je rapporte lesquels ont répondu, et je sors la longueur de clé du premier qui touche.

Cas d'usage courants d'un checker d'authentification email

• Vérif avant le décollage d'une campagne marketing. Le matin d'un envoi de cinquante mille newsletters, je le lance. À chaque fois, sans exception. Un record de travers et tout l'envoi se vautre dans les spams, et à ce moment-là ? Bien trop tard pour rattraper le coup.
• Enquêter sur "le mail du partenaire part en spam". Arrête de te disputer par email et pointe juste ce truc sur leur domaine. Neuf fois sur dix c'est une clé DKIM qui n'a jamais été configurée, ou un SPF tellement laxiste que la moitié d'internet peut envoyer en se faisant passer pour eux.
• Auditer une nouvelle acquisition. Une boîte se fait intégrer dans le groupe, et d'un coup sa config email devient un sujet pour la revue de sécurité. Un SPF bâclé, un DMARC faiblard, c'est une porte grande ouverte pour quiconque a envie d'usurper la marque que tu viens d'acheter.
• Se préparer aux règles bulk-sender de Gmail et Yahoo. Les deux exigent un SPF valide, du DKIM et un vrai DMARC de la part des gros expéditeurs depuis 2024. Je m'appuie là-dessus pour confirmer que je suis au-dessus de la barre bien avant qu'une échéance ne morde.
• Activer le BIMI pour la reconnaissance de marque. Quoi que tu fasses, ne paie pas un Verified Mark Certificate avant d'avoir confirmé que ton DMARC est bien à p=quarantine ou p=reject. Sinon le BIMI t'ignore, point. Ça fait quelques centaines d'euros jetés par la fenêtre pour rien.
• Changer de fournisseur mail. Les migrations, c'est là que la délivrabilité va mourir en silence. Une fois le transfert fait je le lance pour confirmer que le nouveau SPF inclut vraiment le nouveau prestataire et que les nouvelles clés DKIM sont bien actives.

Limites et notes sur la confidentialité

Soyons clairs sur les bords du truc. Ça lit du DNS public et rien d'autre. Ça n'envoie jamais d'email de test, ça ne tape jamais sur un serveur mail, et ça oublie chaque domaine que tu tapes à l'instant où tu fermes l'onglet. Le DKIM reste le pénible de la bande, vu qu'il repose entièrement sur le fait de connaître le selector de ton fournisseur, donc si le tien sort des sentiers battus, c'est exactement à ça que sert le champ perso au-dessus. Côté SPF je compte les include de premier niveau par rapport au plafond de dix lookups, mais je l'avoue, je ne descends pas en récursion dans les include imbriqués, donc une config vraiment touffue pourrait quand même mériter un coup d'œil manuel. Quant au BIMI, tout ce que je prétends c'est que le record est là. Est-ce que le logo s'affiche vraiment, est-ce que le VMC tient la route, ça c'est l'affaire du serveur destinataire. Pas la mienne.

Questions fréquentes