Est-ce qu'une usurpation de votre domaine est possible ?

Liste les serveurs autorisés à envoyer du courriel pour votre domaine. Sans lui, n'importe quel serveur peut prétendre être le vôtre. Publié sans fermeture stricte, il énumère vos expéditeurs légitimes sans en refuser aucun autre.

Une signature cryptographique que votre fournisseur d'envoi ajoute à chaque message, vérifiable avec une clé publique que vous publiez de votre côté. Elle établit que le message vient bien de votre domaine et qu'il n'a pas été modifié en route. La clé se publie sous un sélecteur, un nom que choisit le fournisseur.

Indique aux serveurs destinataires quoi faire d'un message qui échoue SPF et DKIM : le laisser passer, le mettre en quarantaine ou le refuser. C'est le seul des trois qui refuse quelque chose. Un domaine dont la politique n'applique rien reste usurpable, aussi bon soit le reste.

Demande aux serveurs qui vous écrivent d'utiliser une connexion chiffrée et de vérifier votre certificat. Sans lui, le chiffrement du transport se négocie en clair et peut être retiré par quelqu'un placé sur le chemin.

Fait remonter un rapport quand une connexion chiffrée vers vos serveurs échoue. Ne protège rien par lui-même : c'est ce qui vous permet de voir que MTA-STS ne fonctionne pas.

Affiche votre logo à côté de vos messages dans les boîtes de réception qui le prennent en charge. Exige un DMARC qui applique déjà une politique, donc il vient en dernier et jamais en premier.

• Aucun courriel n'est envoyé, ni à vous ni à personne. La page lit ce que votre domaine publie, comme le fait tout serveur de courriel avant de vous écrire.
• Il n'y a ni compte à créer, ni carte, ni adresse à donner pour obtenir le résultat.
• Elle ne lit pas votre boîte de réception et ne mesure pas la délivrabilité de vos campagnes. Elle regarde ce que votre domaine publie, pas ce qu'il envoie.
• Elle voit ce qu'un serveur destinataire voit à cet instant. Un enregistrement publié il y a quelques minutes peut ne pas être encore propagé partout.
• C'est un instantané de l'authentification du courriel, pas un portrait de votre exposition sur Internet.

Non. Elle lit ce que votre domaine publie publiquement, ce que fait n'importe quel serveur de courriel avant de vous écrire. Aucun message n'est envoyé et aucune boîte n'est touchée.

Ni l'un ni l'autre. Vous entrez un domaine, vous obtenez le résultat. Aucune adresse ne vous est demandée pour le voir.

Parce que DMARC est le seul des enregistrements vérifiés qui refuse quelque chose. Tant que votre politique n'applique rien, un message usurpé passe malgré un SPF et un DKIM impeccables. La lettre reste donc en dessous du score tant que la politique n'est pas appliquée.

Sans enregistrement MX, le domaine ne reçoit pas de courrier et l'authentification ne s'y applique pas : il n'y a rien à noter, et ce n'est pas un mauvais résultat. Si vous envoyez du courriel depuis un autre domaine, vérifiez celui-là.

Cela veut dire qu'au moins un enregistrement n'a pas pu être lu. Une note calculée sans lui serait fausse : un SPF non lu vaut à lui seul une lettre entière. Nous préférons vous dire ce que nous n'avons pas vu. Relancez dans quelques minutes, ces échecs sont presque toujours temporaires.

Non, et personne ne peut l'affirmer à votre place. L'authentification du courriel fait partie des mesures de sécurité externes qu'une organisation est attendue de maintenir sous la Loi 25, et cette page vous montre où vous en êtes sur ce point précis. CyberAzimut n'est pas un organisme de certification.

Après chaque changement d'outil qui envoie en votre nom, et sinon quelques fois par année. SPF a une limite de dix résolutions DNS : passé ce seuil, les serveurs destinataires traitent l'enregistrement comme invalide et il ne couvre plus rien. On l'atteint en ajoutant des outils, un par un, sans que rien ne le signale.