Trois enregistrements DNS déterminent si un escroc peut écrire à vos clients en se faisant passer pour vous. Ils sont publics : nous les lisons devant vous.
La liste des serveurs autorisés à envoyer du courrier en votre nom. Sans elle, n'importe quelle machine peut prétendre être vous.
Une signature cryptographique apposée à chaque message. Elle prouve que le contenu vient bien de chez vous et n'a pas été modifié en route.
La consigne donnée aux serveurs destinataires : que faire d'un message qui échoue aux deux contrôles précédents. Sans elle, la réponse est « le livrer quand même ».
Un SPF trop empilé (Microsoft 365, CRM, outil d'envoi en masse…) dépasse la limite de la norme et devient invalide, sans que rien ne vous prévienne.
Si vos adresses d'envoi propres figurent sur une liste de réputation, une partie de vos messages part en indésirables sans que vous le sachiez.
Les rapports DMARC, qui montrent qui écrit en votre nom, et MTA-STS, qui rend le chiffrement du courrier reçu obligatoire.
Ces informations sont publiques : toute personne qui envisage de travailler avec vous peut les consulter, et un RSSI le fait en dix secondes. L'outil ne fait rien d'autre que les lire.
Nous interrogeons le DNS public depuis notre serveur : aucun message n'est envoyé, aucune connexion n'est tentée vers votre messagerie, et aucun compte n'est sollicité. Pour les listes noires, nous interrogeons les services publics de réputation avec les adresses d'envoi que votre SPF déclare lui-même. Le domaine que vous saisissez n'est pas enregistré — nous comptons le nombre d'utilisations de l'outil, rien d'autre.
Une limite à connaître : DKIM ne peut être détecté qu'en devinant le nom du sélecteur. Nous essayons les douze plus répandus. Un « non détecté » signifie donc « pas trouvé parmi les noms courants », pas « absent ». Nous préférons le dire plutôt que de vous alarmer à tort.
Pour aller plus loin : cet outil lit la configuration de votre domaine. Pour savoir ce qui arrive à un vrai message (authentification constatée à l'arrivée, réputation de l'envoi, contenu, liens), essayez notre test de délivrabilité.
Et pour la transparence : notre propre domaine a échoué à deux de ces trois contrôles jusqu'au 12 septembre 2026. Nous les avons corrigés le jour où nous l'avons constaté. Vous pouvez auditer le reste de notre configuration.