Outil gratuit · Sans inscription

Vérificateur de domaine e-mail gratuit : test SPF, DKIM, DMARC et MX

Dernière mise à jour : 3 octobre 2026Par Avalon

Vérifiez en quelques secondes les enregistrements SPF (avec la limite de 10 requêtes), DMARC, DKIM, MX, MTA-STS, TLS-RPT et BIMI d'un domaine.

Domaines, un par ligne

Chaque domaine fait l'objet de la même vérification complète que ci-dessus. Les domaines sont vérifiés par petits groupes, directement depuis votre navigateur.

Les requêtes partent de votre navigateur vers un résolveur DNS public (Cloudflare, ou Google s'il ne répond pas), qui interroge les mêmes enregistrements que n'importe quel serveur de messagerie. Rien ne nous est envoyé et rien n'est conservé.

Vérification de {domain}…Vérification terminée en {secs} s avec {queries} requêtes DNS.Saisissez un domaine comme example.com, ou une adresse e-mail.Cela ne ressemble pas à un nom de domaine. Saisissez par exemple example.com.Saisissez 5 sélecteurs DKIM au maximum.« {s} » n'est pas un sélecteur DKIM valide.Les résolveurs DNS publics n'ont pas répondu. Vérifiez votre connexion et réessayez.Note : {score} sur 100{queries} requêtes DNS · vérifié {time}{n} réussites{n} avertissements{n} échecs{n} à titre informatifRien à corriger. Toutes les vérifications notées ont réussi.RéussiteAvertissementÉchecInfo{points} / {max} pointsNon notéMX (où votre courrier est distribué)SPF (qui peut envoyer en votre nom)DMARC (ce que font les destinataires avec les messages usurpés)DKIM (clés de signature des messages)MTA-STS (acheminement chiffré jusqu'à vous)TLS-RPT (rapports de sécurité de la distribution)BIMI (logo de la marque dans la boîte de réception)EnregistrementServeurs de messagerie{priority} {host}{n} adressesIPv6PolitiqueRequêtes DNS{n}{plus} sur 10Requêtes videsArborescence des includeTrouvé sur{where} (hérité du domaine parent)NiveauS'applique àPolitique des sous-domainesRapports agrégés envoyés àAlignementDKIM {dkim}, SPF {spf}Sélecteurs vérifiésClés trouvées{selector} : {type} {bits}{selector} : clé vide (révoquée)mode testFichier de politiqueLogoCertificatAucuncontient des macros SPF, non développéesnon suivi (limite déjà dépassée)boucleaucun enregistrement SPFErreur DNSredirectionéchec (-all)échec souple (~all)neutre (?all)réussite (+all)neutre (pas de « all », donc ?all par défaut)Impossible de lire les enregistrements MX (délai DNS dépassé ou panne du serveur).Vérifiez que les serveurs de noms du domaine répondent de façon fiable.MX nul (RFC 7505) : ce domaine indique qu'il ne reçoit pas d'e-mails.Aucun enregistrement MX : les e-mails destinés à ce domaine sont envoyés à son enregistrement A, ou rejetés.Publiez des enregistrements MX pour votre fournisseur de messagerie, ou un MX nul (« 0 . ») si le domaine n'envoie ni ne reçoit d'e-mails.L'enregistrement MX pointe vers une adresse IP et non vers un nom d'hôteÉchec de la requête DNSL'hôte ne se résout pasHôte MX {host} : {error}.Un seul hôte MX : aucune solution de repli en cas de panne (acceptable pour les grands fournisseurs de messagerie hébergée).Corrigez ou supprimez les hôtes MX qui ne se résolvent pas ; les expéditeurs réessaient et la livraison est retardée.{domain} : modificateur inconnu « {key} » (ignoré par les serveurs destinataires).{domain} : mécanisme inconnu « {term} » : les serveurs destinataires considèrent tout l'enregistrement comme une erreur (permerror).{domain} : valeur {name} non valide « {arg} ».{domain} : « ptr » est obsolète (RFC 7208) et lent ; supprimez-le.{kind} sans domaine.Boucle SPF : {target} est inclus plusieurs fois dans la chaîne.Impossible de lire le SPF de {target} (erreur DNS après nouvel essai) : si le problème persiste, les serveurs destinataires renvoient temperror.{kind} « {target} » n'a aucun enregistrement SPF : les serveurs destinataires considèrent cela comme une permerror.{target} publie {n} enregistrements SPF (permerror).Impossible de lire les enregistrements TXT (erreur DNS).Aucun enregistrement SPF : n'importe qui peut prétendre envoyer des e-mails depuis ce domaine.Publiez « v=spf1 -all » pour que personne ne puisse envoyer d'e-mails avec ce domaine.Publiez un enregistrement TXT SPF listant vos expéditeurs, par ex. « v=spf1 include:_spf.google.com ~all ».{n} enregistrements SPF publiés : les serveurs destinataires considèrent cela comme une permerror (le SPF échoue partout).Fusionnez tous les enregistrements SPF en un seul enregistrement TXT « v=spf1 ... ».Le SPF nécessite {n}{plus} requêtes DNS ; la limite est de 10 (permerror).Supprimez les include inutiles, remplacez « a »/« mx » par des plages ip4/ip6, ou aplatissez les include imbriqués.Le SPF utilise {n} requêtes DNS sur 10 : un fournisseur de plus le rendra invalide.{n} requêtes vides (limite : 2).« +all » autorise tous les serveurs d'Internet à envoyer des e-mails avec ce domaine.Remplacez « +all » par « -all » ou « ~all ».Le SPF se termine par neutre : il ne demande pas aux serveurs destinataires de rejeter les expéditeurs non listés.Terminez l'enregistrement par « ~all » (ou « -all » une fois les rapports DMARC corrects).L'enregistrement SPF fait {n} caractères : les enregistrements longs risquent d'être tronqués en UDP.Impossible de lire l'enregistrement DMARC (erreur DNS).Aucun enregistrement DMARC : les serveurs destinataires n'ont aucune politique pour les e-mails usurpés et vous ne recevez aucun rapport.Publiez un enregistrement TXT sur _dmarc.{domain} : « v=DMARC1; p=none; rua=mailto:dmarc@{domain} », puis passez à p=quarantine, puis à p=reject, une fois les rapports propres.{n} enregistrements DMARC : les serveurs destinataires ignorent complètement DMARC s'il y en a plusieurs.Valeur pct non valide « {v} ».Politique p=« {p} » manquante ou non valide : l'enregistrement est ignoré.La politique est p=none : les e-mails usurpés sont toujours distribués ; il s'agit d'un réglage de surveillance.Après avoir examiné les rapports DMARC, passez à p=quarantine, puis à p=reject.La politique {p} ne s'applique qu'à {pct} % des e-mails en échec.Portez pct à 100.Aucune adresse de rapport agrégé (rua) : vous ne pouvez pas voir qui envoie des e-mails avec votre domaine.Ajoutez rua=mailto:dmarc-reports@{org} (ou un service de rapports DMARC).La politique de sous-domaine sp=none laisse tous les sous-domaines exposés à l'usurpation.Envisagez p=reject pour une protection maximale.fortemodéréepartielsurveillance uniquementnon validestrictsoupleLe sélecteur « {s} » a une clé vide (révoquée).Sélecteur « {s} » : {error}.la clé publique n'est pas en base64 validela clé publique n'a pas pu être analyséeLe sélecteur « {s} » utilise une clé RSA de {bits} bits : les serveurs de réception rejettent les clés de moins de 1024 bits.Le sélecteur « {s} » utilise une clé RSA de {bits} bits ; 2048 bits est la recommandation actuelle.Passez à une clé DKIM de 2048 bits.Le sélecteur « {s} » est en mode test (t=y).Aucune clé DKIM pour le ou les sélecteurs : {list}.Le domaine ne gère pas le courrier (MX nul) ; DKIM n'est pas requis.Aucune clé DKIM active trouvée parmi les sélecteurs courants testés. Les sélecteurs ne peuvent pas être listés depuis le DNS : saisissez ci-dessus le sélecteur de votre fournisseur pour le vérifier.Activez la signature DKIM chez votre fournisseur de messagerie et publiez sa clé publique.Pas de MTA-STS : un attaquant peut rétrograder les e-mails qui vous sont destinés vers un serveur SMTP non chiffré.Publiez _mta-sts.{domain} TXT 'v=STSv1; id=<date>' et une politique à l'adresse https://mta-sts.{domain}/.well-known/mta-sts.txt (commencez en mode: testing).L'enregistrement TXT MTA-STS n'a pas de valeur id=.L'enregistrement TXT est en place. Une page de navigateur n'a pas le droit de lire le fichier de politique lui-même : son mode, sa liste MX et max_age ne sont donc pas vérifiés ici, et MTA-STS n'est pas pris en compte dans le score. Ouvrez le fichier de politique ci-dessous pour le vérifier, ou utilisez l'API pour une vérification complète.Pas d'enregistrement TLS-RPT : vous ne recevez aucun rapport lorsque des expéditeurs n'arrivent pas à se connecter de façon sécurisée.Publiez _smtp._tls.{domain} TXT 'v=TLSRPTv1; rua=mailto:tls-reports@{domain}'.L'enregistrement TLS-RPT n'a pas de rua valide (mailto: ou https:).Pas d'enregistrement BIMI (facultatif : affiche votre logo dans les boîtes de réception compatibles ; nécessite l'application stricte de DMARC).BIMI nécessite DMARC avec p=quarantine ou p=reject et pct=100 ; les logos ne s'afficheront pas.L'URL du logo BIMI doit être en https.Pas de certificat VMC/CMC (a=) ; Gmail et Apple Mail en exigent un.Avalon Pro vérifie jusqu'à {pro} domaines à la fois ; les {pro} premiers ont été conservés.Ajoutez au moins un domaine, un par ligne.Vérifiés : {done} sur {total}…{total} domaines vérifiés.Arrêt après {done} sur {total}.n'est pas un domainen'a pas pu être vérifiéDomaine,Score,Note,MX,SPF,DMARC,DKIM,MTA-STS,TLS-RPT,BIMI,Requêtes SPF,Politique DMARC,Sélecteurs DKIM trouvés,Problèmes,Vérifié le

À quoi sert cet outil

Saisissez un domaine et ce vérificateur lit ses enregistrements d'authentification e-mail directement dans le DNS : SPF, DKIM, DMARC, MX, MTA-STS, TLS-RPT et BIMI. Chaque contrôle est marqué réussi, avertissement ou échec, avec le problème précis et la façon de le corriger. Les contrôles notés totalisent un score sur 100 et une note de A+ à F.

Il compte aussi les requêtes DNS SPF comme le font les serveurs de réception, en suivant chaque include, pour que vous voyiez à quel point vous êtes proche de la limite de 10 avant qu'un nouveau service d'e-mail ne vous fasse la dépasser.

Comment l'utiliser

Saisissez un domaine tel que example.com. Une adresse e-mail ou l'adresse d'un site web fonctionne aussi.
Si vous connaissez votre sélecteur DKIM, ajoutez-le dans le deuxième champ (jusqu'à 5, séparés par des virgules). Sinon, le vérificateur essaie 30 sélecteurs courants.
Cliquez sur Vérifier le domaine. La vérification de la plupart des domaines prend une à trois secondes.
Commencez par Ce qu'il faut corriger en premier : les échecs passent avant les avertissements.
Ouvrez chaque section pour voir l'enregistrement trouvé, l'arborescence des include SPF, la politique DMARC et la taille des clés DKIM.

Comment le score est calculé

Contrôle	Points	Tous les points si
MX	15	Chaque serveur de messagerie répond, ou le domaine publie un MX nul
SPF	25	Un seul enregistrement, moins de 8 requêtes, se terminant par ~all ou -all (un avertissement rapporte 15)
DMARC	30	p=reject à 100 % (p=quarantine rapporte 25, un pct partiel rapporte 15, p=none rapporte 10)
DKIM	15	Une clé de 2048 bits ou plus est trouvée (une clé de 1024 bits rapporte 8)
MTA-STS	10	Évalué uniquement par l'API (voir ci-dessous)
TLS-RPT	5	Un enregistrement avec une adresse de rapport valide
BIMI	0	Affiché à titre informatif

Le score correspond aux points obtenus divisés par les points possibles : un domaine qui ne reçoit pas de courrier, ou un contrôle affiché à titre informatif, ne fait donc pas baisser le score. MTA-STS n'est pas pris en compte ici lorsque son enregistrement TXT est en place, car une page web ne peut pas lire le fichier de politique ; l'API le lit et le note.

Problèmes courants et solutions

Deux enregistrements SPF. Un domaine ne peut en publier qu'un seul. Fusionnez-les en un seul enregistrement commençant par v=spf1.
Trop de requêtes SPF. Supprimez les services que vous n'utilisez plus, ou demandez à un fournisseur ses plages d'adresses IP au lieu d'utiliser un include.
DMARC avec p=none. Ce réglage ne fait que collecter des rapports. Lisez-les pendant quelques semaines, puis passez à p=quarantine et enfin à p=reject.
Clé DKIM de 1024 bits. La plupart des fournisseurs permettent de passer à une clé de 2048 bits dans leurs paramètres.

Gratuit, Pro et Pro+

	Gratuit	Pro	Pro+
Domaines par vérification	1	50	50
Export CSV de tous les résultats	—	Oui	Oui
Qualité du résultat	Identique avec tous les forfaits
Outils serveur utilisant des crédits	Avec un pack de crédits	Avec un pack de crédits	300 crédits par mois

Les crédits Pro+ servent à payer les outils serveur : conversion de la parole en texte haute précision, sous-titres automatiques haute précision, voix serveur rapides, ainsi que résumés, réponses et traduction de PDF avec IA. Un pack de crédits (150 crédits, valable 12 mois) fonctionne avec n'importe quelle offre. Comparer les offres.

Questions fréquentes

Que teste ce vérificateur de domaine e-mail ?

Sept éléments examinés par un serveur de messagerie destinataire : MX (où va le courrier du domaine), SPF (quels serveurs peuvent envoyer au nom du domaine, avec la limite de 10 requêtes), DMARC (que faire du courrier qui échoue), DKIM (clés de signature sur 30 sélecteurs courants plus ceux que vous ajoutez), MTA-STS et TLS-RPT (livraison chiffrée et rapports associés) et BIMI (un logo de marque dans la boîte de réception). Chaque contrôle est marqué comme réussi, avertissement ou échec, avec la solution, et les contrôles notés totalisent un score sur 100.

Pourquoi SPF échoue-t-il avec trop de requêtes DNS ?

Les serveurs de réception s'arrêtent après 10 requêtes DNS lors de la vérification SPF et traitent tout dépassement comme une erreur : SPF échoue alors pour chaque message. Chaque include, a, mx, ptr, exists et redirect compte, y compris ceux qui se trouvent dans les enregistrements inclus. Le vérificateur suit chaque include et affiche l'arborescence, pour que vous voyiez quel fournisseur ajoute le plus de requêtes.

Pourquoi aucune clé DKIM n'est-elle trouvée alors que DKIM est activé ?

Le DNS ne permet pas de lister les sélecteurs DKIM d'un domaine : le vérificateur en essaie donc 30 courants (google, selector1, selector2, k1, s1 et d'autres). Si votre fournisseur utilise un autre nom, saisissez-le dans le champ des sélecteurs DKIM. Vous le trouverez dans l'en-tête DKIM-Signature d'un e-mail que vous avez envoyé, après s=.

Le résultat est-il le même que celui de votre API ?

Oui pour MX, SPF, DMARC, DKIM, TLS-RPT et BIMI : mêmes règles, mêmes points et mêmes termes que l'API Email Domain Doctor. La seule différence concerne MTA-STS. Une page web n'a pas le droit de télécharger le fichier de politique d'un autre site : ici, seul l'enregistrement TXT MTA-STS est vérifié et MTA-STS n'est pas pris en compte dans le score ; l'API lit aussi le fichier de politique et le note.

Où vont les requêtes ? Mon domaine est-il enregistré ?

Votre navigateur interroge un résolveur DNS public (celui de Cloudflare, ou celui de Google s'il ne répond pas) pour obtenir les enregistrements du domaine, les mêmes enregistrements publics que lit tout serveur de messagerie. Rien n'est envoyé à nos serveurs et rien n'est enregistré.

Puis-je vérifier un sous-domaine ou une adresse e-mail ?

Oui. Saisissez un sous-domaine comme mail.example.com, une adresse e-mail complète ou l'adresse d'un site web, et le domaine en est extrait. Si un sous-domaine n'a pas d'enregistrement DMARC propre, le vérificateur en cherche un sur ses domaines parents, comme le font les serveurs de réception.