Pourquoi mes mails atterrissent en spam ? Vérifiez SPF, DKIM, DMARC.
Tapez le domaine depuis lequel vous envoyez (la partie après @ dans l'adresse From) et l'outil lit les trois enregistrements DNS que chaque boîte mail moderne vérifie : SPF (quels serveurs peuvent envoyer pour vous), DKIM (la signature cryptographique sur chaque message) et DMARC (que faire quand SPF et DKIM ne sont pas d'accord).
Vous obtenez trois cartes "feu tricolore" : vert ça passe, jaune ça marche mais c'est fragile, rouge les destinataires envoient très probablement votre mail en spam - ou le rejettent. Chaque carte s'ouvre pour montrer l'enregistrement brut, les valeurs parsées et une liste d'avertissements en clair.
On interroge les enregistrements depuis notre serveur via le DNS public Cloudflare (1.1.1.1). Rien n'est écrit nulle part, la consultation est finie en moins de deux secondes.
Mode d'emploi
- Tapez le domaine d'envoi. Le domaine de l'adresse From, pas l'email complet. Pour "marketing@boutique.fr" le domaine est boutique.fr. On retire la partie utilisateur si vous collez l'adresse entière.
- Cliquez sur "Vérifier". L'outil récupère SPF, DKIM (pour les 8 sélecteurs les plus courants) et DMARC en parallèle.
- Si une carte est verte, ce morceau est sain. Jaune = ça marche mais a un point faible à corriger (clé en mode test, `~all` au lieu de `-all`, pas de rapports DMARC). Rouge = les destinataires peuvent jeter votre mail.
- Vous ne voyez pas votre clé DKIM ? Activez "Sélecteurs DKIM personnalisés" et tapez le sélecteur qu'utilise votre fournisseur email (par exemple `dkim`, `mxvault`, `mandrill`). Le sélecteur est le préfixe avant `._domainkey.` dans l'enregistrement DNS.
- Lisez les avertissements dans chaque carte. Ils sont ordonnés par impact - corrigez l'avertissement du haut d'abord, puis revérifiez.
Quand cet outil est utile
Cinq moments réels où vérifier SPF/DKIM/DMARC vous sauve :
- Newsletter qui part en spam. Vous avez configuré Mailchimp / Brevo / Klaviyo, envoyé la première campagne, la moitié des destinataires ne l'a pas eue. Premier diagnostic = vérifier SPF + DKIM, la plateforme d'envoi demande généralement que les deux soient alignés.
- Migration vers un nouveau prestataire email. Passage de Google Workspace à Microsoft 365, ou ajout d'un expéditeur transactionnel (Postmark, SendGrid). Les anciens SPF/DKIM restent à côté du nouveau jusqu'à la fin de la propagation - facile à louper.
- Plainte "mes mails sont rejetés" d'un client. Le client dit "votre mail n'arrive jamais". Ça peut être : SPF au-dessus de la limite des 10 lookups, clé DKIM révoquée, DMARC `p=reject` sans `rua` pour déboguer.
- Audit de protection anti-phishing. Votre entreprise envoie des factures aux clients. Sans DMARC `p=reject`, n'importe qui peut usurper votre domaine. L'outil vous dit exactement quel morceau manque.
- Pré-lancement sur un nouveau domaine. Avant d'envoyer le premier email transactionnel depuis un domaine frais, vérifiez que les trois pièces sont en place. La réputation se construit lentement, se détruit en une campagne.
Pour un audit DNS profond au-delà de l'email, utilisez la consultation DNS. Pour valider que le mot de passe de votre compte SMTP n'a pas fuité, voir le vérificateur de mot de passe compromis.