Analyseur DMARC gratuit

Pourquoi analyser un domaine

Sans politique DMARC appliquée, rien n'empêche un tiers d'envoyer des messages qui affichent votre nom de domaine dans le champ expéditeur : les serveurs destinataires n'ont aucun moyen de les distinguer des vôtres. Publier un enregistrement ne suffit pas non plus — beaucoup de domaines s'arrêtent à p=none, une politique d'observation qui collecte des rapports mais ne bloque rien. L'analyse indique en quelques secondes de quel côté de cette frontière se trouve un domaine, et ce qui manque pour la franchir.

Ce que l'analyse mesure

DMARC ne fonctionne pas seul : il s'appuie sur SPF et DKIM, et surtout sur l'alignement entre le domaine visible par le destinataire et celui qui a été authentifié. Un message peut réussir SPF et échouer DMARC si les deux domaines diffèrent — c'est de loin la cause la plus fréquente d'échec inattendu. L'analyseur restitue donc les trois briques ensemble : la politique DMARC publiée (none, quarantine ou reject) et le pourcentage de trafic auquel elle s'applique, la validité de l'enregistrement SPF et le nombre de requêtes DNS qu'il consomme, enfin les sélecteurs DKIM détectés et l'état de leurs clés. La présence d'une adresse de rapports agrégés est vérifiée elle aussi : sans elle, la politique est publiée à l'aveugle.

À retenir — Une politique p=none ne bloque rien : elle sert à observer avant de durcir. La protection commence à p=quarantine et n'est complète qu'à p=reject appliqué à 100 % du trafic.

Comment fonctionne l’analyseur

Tout se joue sur des enregistrements DNS publics — les mêmes que consulte n'importe quel serveur de messagerie pour évaluer un message entrant. Aucun serveur du domaine n'est sondé, aucun message n'est envoyé, rien n'est modifié : l'analyse est strictement passive, et peut donc porter sur un domaine que l'on ne possède pas, celui d'un fournisseur, d'un client ou d'une cible d'acquisition. Les enregistrements SPF sont déroulés récursivement, include après include, pour compter les requêtes DNS réelles et non les seules lignes visibles. Les sélecteurs DKIM sont cherchés parmi les plus courants chez les fournisseurs de messagerie et les routeurs d'e-mails : un sélecteur propriétaire peut échapper à cette recherche sans que la configuration soit fautive, et le résultat le signale plutôt que de conclure à une absence.

Questions fréquentes

L'analyse est-elle vraiment gratuite ?

Oui, et sans compte. Le résultat complet s'affiche immédiatement : note de posture, détail par protocole, anomalies et parcours de remédiation. Le compte gratuit ne sert qu'à la suite — recevoir les rapports agrégés et suivre l'évolution dans le temps.

Peut-on analyser un domaine qui ne nous appartient pas ?

Oui. Les enregistrements DMARC, SPF et DKIM sont publics par construction : ils doivent être lisibles par tous les serveurs de messagerie du monde pour remplir leur rôle. Analyser le domaine d'un fournisseur ou d'un partenaire ne demande donc aucune autorisation.

Que signifie la note de posture ?

Elle résume sur 100 la solidité de l'authentification : sévérité de la politique DMARC, validité de SPF, présence de clés DKIM, collecte des rapports. Une note élevée traduit une configuration cohérente et appliquée, pas seulement des enregistrements présents.

L’analyse modifie-t-elle quelque chose sur le domaine ?

Non. Aucune écriture, aucune connexion aux serveurs du domaine, aucun message de test. L'opération se limite à des requêtes DNS en lecture, identiques à celles qu'effectue un serveur destinataire à chaque message reçu.

Que faire après le diagnostic ?

Corriger d'abord ce qui casse l'authentification des envois légitimes, puis publier une politique DMARC en observation avec une adresse de rapports, lire ces rapports jusqu'à reconnaître toutes les sources d'envoi, et durcir progressivement vers p=reject. Le parcours affiché sous le résultat déroule ces étapes dans l'ordre.