Trois enregistrements DNS déterminent si un escroc peut écrire à vos clients en se faisant passer pour vous. Ils sont publics : nous les lisons devant vous.
La liste des serveurs autorisés à envoyer du courrier en votre nom. Sans elle, n'importe quelle machine peut prétendre être vous.
Une signature cryptographique apposée à chaque message. Elle prouve que le contenu vient bien de chez vous et n'a pas été modifié en route.
La consigne donnée aux serveurs destinataires : que faire d'un message qui échoue aux deux contrôles précédents. Sans elle, la réponse est « le livrer quand même ».
Ces trois enregistrements sont publics : toute personne qui envisage de travailler avec vous peut les consulter, et un RSSI le fait en dix secondes. L'outil ne fait rien d'autre que les lire.
Nous interrogeons le DNS public depuis notre serveur : aucun message n'est envoyé, aucune connexion n'est tentée vers votre messagerie, et aucun compte n'est sollicité. Le domaine que vous saisissez n'est pas enregistré — nous comptons le nombre d'utilisations de l'outil, rien d'autre.
Une limite à connaître : DKIM ne peut être détecté qu'en devinant le nom du sélecteur. Nous essayons les douze plus répandus. Un « non détecté » signifie donc « pas trouvé parmi les noms courants », pas « absent ». Nous préférons le dire plutôt que de vous alarmer à tort.
Et pour la transparence : notre propre domaine a échoué à deux de ces trois contrôles jusqu'au 12 septembre 2026. Nous les avons corrigés le jour où nous l'avons constaté. Vous pouvez auditer le reste de notre configuration.