Comment vérifier que SPF, DKIM et DMARC sont bien actifs

Poser les enregistrements DNS ne suffit pas : encore faut-il confirmer qu'ils sont lus correctement par les serveurs de messagerie, et pas juste « présents » sur le papier. Ce guide passe en revue les outils gratuits de spf dkim dmarc check les plus fiables et explique comment interpréter leurs résultats avant d'envoyer la première vague d'une prospection B2B ciblée.

Pourquoi vérifier ne suffit pas de « regarder le DNS »

Un enregistrement DNS peut être présent et pourtant mal interprété : une syntaxe SPF avec une erreur de guillemet, un enregistrement DKIM dupliqué sur deux sélecteurs différents, un DMARC dont l'adresse de rapport n'accepte pas les emails externes. Ces erreurs ne sautent pas aux yeux en regardant simplement la fiche DNS chez son registrar.

Pour une prospection B2B adressée où chaque email compte — on parle de dizaines ou de centaines de messages personnalisés, pas de dizaines de milliers — un enregistrement mal formé qui fait échouer 10 % des envois silencieusement peut représenter plusieurs décideurs jamais atteints sans qu'on s'en rende compte avant longtemps.

Les outils de vérification en ligne interrogent le DNS en temps réel et simulent la lecture que ferait un serveur receveur, ce qui permet de repérer ces erreurs avant l'envoi, pas après avoir constaté un taux de réponse anormalement bas.

MXToolbox : le réflexe pour un check rapide

MXToolbox propose des vérificateurs dédiés à SPF, DKIM et DMARC, accessibles séparément ou combinés. Le test SPF affiche la chaîne complète des include résolus et signale immédiatement un dépassement du plafond de 10 lookups DNS, une erreur fréquente et difficile à repérer à l'œil nu.

Pour DKIM, il faut connaître le nom du sélecteur utilisé (google pour Google Workspace, selector1 et selector2 pour Microsoft 365) — sans ce nom, l'outil ne peut pas localiser la clé publique dans le DNS. Le test DMARC de MXToolbox affiche la politique active et alerte si l'adresse de rapport rua semble mal configurée.

L'avantage de MXToolbox est la gratuité totale et l'absence de compte à créer pour les checks ponctuels, ce qui en fait l'outil de premier réflexe avant tout envoi.

• Test SPF MXToolbox — affiche la chaîne d'include et le nombre de lookups consommés
• Test DKIM MXToolbox — nécessite le nom du sélecteur (google, selector1, selector2 selon la plateforme)
• Test DMARC MXToolbox — vérifie la politique et la syntaxe des adresses de rapport
• Test MX et blacklist inclus dans la même suite, utile pour un diagnostic global du domaine

dmarcian : pour aller plus loin sur les rapports DMARC

dmarcian se distingue par son offre gratuite de traitement des rapports agrégés DMARC (format XML, difficile à lire à l'œil nu) : le domaine reçoit les rapports envoyés par Google, Microsoft, Yahoo et autres, dmarcian les transforme en tableau de bord lisible qui montre quels serveurs envoient en votre nom et lesquels échouent à SPF ou DKIM.

C'est l'outil à privilégier une fois DMARC posé en p=none, pendant la phase d'observation avant de resserrer la politique vers quarantine puis reject. Sans cette lecture des rapports, resserrer la politique à l'aveugle risque de bloquer un service légitime qu'on a oublié d'inclure dans le SPF.

dmarcian propose aussi un vérificateur ponctuel gratuit (DMARC Inspector) pour un check rapide sans inscription, dans le même esprit que MXToolbox mais avec une lecture plus détaillée de la politique DMARC en place.

Autres outils gratuits utiles à connaître

Google Admin Toolbox (dans le domaine toolbox.googleapps.com) propose un vérificateur SPF/DKIM/DMARC spécifiquement pensé pour Google Workspace, avec des messages d'erreur qui pointent directement vers les étapes de configuration côté console Google. Utile en complément de MXToolbox si le domaine tourne sous Google Workspace.

Pour Microsoft 365, le Centre d'administration Exchange affiche directement le statut DKIM (activé ou non) sans passer par un outil externe — c'est souvent la vérification la plus fiable puisqu'elle vient de la source. mail-tester.com, de son côté, ne fait pas qu'un check DNS statique : il envoie un email réel vers une adresse générée et note la délivrabilité globale, contenu compris, ce qui en fait un bon complément final avant lancement.

Erreurs fréquentes en lisant les résultats d'un check

Confondre un enregistrement SPF « valide syntaxiquement » avec un enregistrement « complet » : l'outil confirme que la syntaxe est correcte, pas que tous les services d'envoi légitimes du domaine sont bien inclus dans la liste. Il faut croiser avec la liste réelle des outils utilisés par l'équipe.

Se contenter d'un check unique au moment de la configuration : un outil de prospection ajouté six mois plus tard, ou une migration partielle vers un nouveau CRM, peut casser le SPF sans que personne ne le remarque avant la prochaine vérification.

• Lancer un check après chaque ajout d'un nouvel outil d'envoi (CRM, plateforme de prospection, service de facturation)
• Vérifier le sélecteur DKIM exact utilisé par sa plateforme avant de lancer un test
• Croiser un check DNS statique avec un envoi de test réel (mail-tester ou équivalent)
• Programmer une vérification trimestrielle même sans changement connu

Ce qu'on fait chez LDM avant chaque campagne

Avant d'activer une séquence de prospection B2B sur un domaine, on lance systématiquement un check MXToolbox pour SPF et DKIM, on confirme la présence et la politique DMARC, puis on envoie un email test réel vers une boîte Gmail et une boîte Microsoft 365 pour observer où il atterrit concrètement — l'onglet principal, les promotions, ou le spam. Un check DNS positif combiné à un test réel qui atterrit en spam signale presque toujours un problème de contenu ou de réputation d'IP, pas d'authentification.

Questions fréquentes