Analysez un fichier .eml : en-têtes, chaîne Received, liens, empreintes des pièces jointes, incohérences d'expéditeur.
Nouveau
Vérificateur d'authentification e-mail
Réseau: DoHNouveau
L'outil lui-même est en anglais ; cette page vous l'explique dans votre langue.
Utilisez Vérificateur d'authentification e-mail
Fonctionnalités
Saisissez un domaine pour voir dans quelle mesure il est protégé contre l'usurpation : l'arbre des include SPF avec son nombre de requêtes, la politique DMARC, la taille des clés DKIM, MTA-STS, TLS-RPT, BIMI et MX.
Les noms DNS que vous recherchez sont envoyés au relais DNS PhishDestroy (/api/dns-resolve.php), qui interroge Cloudflare ou Google DNS via HTTPS.
Comment utiliser Vérificateur d'authentification e-mail
- Saisissez un domaine. Tapez un domaine, une adresse e-mail ou une URL. L'outil ne garde que le domaine, retire le www. initial d'une URL et supprime les préfixes comme _dmarc.
- Ajoutez des sélecteurs DKIM. Si vous disposez d'un message provenant du domaine, copiez la valeur s= de son en-tête DKIM-Signature dans le champ des sélecteurs. Jusqu'à 10 sont vérifiés.
- Lancez la vérification. Appuyez sur Check, ou sur Try common DKIM selectors (essayer les sélecteurs DKIM courants) pour tester 15 noms fréquents. Le compteur indique combien de requêtes DNS ont été utilisées.
- Lisez le tableau Summary. Chaque enregistrement reçoit pass, warn, fail, info ou error avec un constat d'une ligne. Les sections en dessous montrent les enregistrements bruts et l'arbre des include SPF.
- Exploitez le résultat. Un domaine sans SPF ni politique DMARC appliquée est facile à usurper. Gardez-le en tête lorsque vous jugez un message qui prétend en provenir.
Exemple
Un domaine qui n'envoie aucun e-mail
example.comChecked example[.]com · 6 DNS queries through the relay (Cloudflare)
Summary
RECORD STATUS FINDING
SPF pass "v=spf1 -all": no server may send mail as example[.]com, so any message from it is forged
DMARC warn p=reject, sp=reject
DKIM info Not checked: DKIM keys can only be found by selector (see the DKIM-Signature s= of a message)
MTA-STS info No MTA-STS record (optional): senders may deliver over unencrypted or unverified TLS
TLS-RPT info No TLS-RPT record (optional): no reports about TLS delivery failures
BIMI info No BIMI record (optional). DMARC is at enforcement
MX info Null MX "0 .": the domain accepts no mail (RFC 7505)
SPF
DNS-QUERYING TERMS
0 of 10
VOID LOOKUPS
0 of 2
UNLISTED SENDERS GET
fail (-all)
v=spf1 -all
Include and redirect tree (lookups are numbered in evaluation order; include, a, mx, ptr, exists and redirect count, RFC 7208 §4.6.4)
example[.]com · 0 lookups here, 0 in this branch
fail -all
DMARC
Found at _dmarc.example[.]com
v=DMARC1;p=reject;sp=reject;adkim=s;aspf=s
warn no rua: the owner receives no aggregate reports
TAG VALUE MEANING
v DMARC1 version
p reject policy for the domain itself — reject: failing mail is refused
sp reject policy for subdomains (default: p) — reject: failing mail is refused
adkim s DKIM alignment: r = same organization, s = exact domain (default r)
aspf s SPF alignment: r = same organization, s = exact domain (default r)
DKIM
DNS cannot list DKIM keys: each one sits under a selector chosen by the sender (selector._domainkey.example[.]com). Enter the s= value from a message's DKIM-Signature header, or press “Try common
…SPF v=spf1 -all, DMARC p=reject et un enregistrement MX nul (0 .) : le domaine déclare qu'il n'envoie ni ne reçoit de courrier électronique ; par conséquent, tout message provenant de ce domaine est considéré comme falsifié. DMARC est marqué « warn » uniquement parce que l'enregistrement ne comporte pas d'adresse rua= ; le propriétaire ne reçoit donc aucun rapport agrégé ; la politique elle-même (p=reject, sp=reject) est pleinement appliquée.
Ce qu'il vérifie
| Signal | Ce que cela signifie |
|---|---|
| Enregistrement SPF | Un enregistrement absent est un fail. +all laisse passer tous les serveurs, et ?all ou l'absence de all n'offre aucune protection ; -all ou ~all est ce qu'on attend. |
| Nombre de requêtes SPF et de requêtes vides | include, a, mx, ptr, exists et redirect coûtent chacun une requête DNS. Plus de 10 requêtes, ou plus de 2 qui ne renvoient rien, cassent SPF avec un permerror. |
| Politique DMARC | p=none ne fait que surveiller, quarantine envoie le courrier en échec dans les spams et reject le refuse. Les avertissements couvrent aussi un pct inférieur à 100, sp=none et l'absence d'adresse rua. |
| DMARC hérité | Si un sous-domaine n'a pas d'enregistrement, celui du domaine organisationnel est lu et marqué comme hérité. |
| Clé DKIM | Affichée par sélecteur avec son type et sa taille. Une clé RSA de moins de 1024 bits est un fail, de moins de 2048 bits un avertissement, et un p= vide signifie que la clé est révoquée. |
| MTA-STS et TLS-RPT | Des enregistrements facultatifs qui demandent aux expéditeurs d'utiliser un TLS vérifié et de signaler les échecs. S'ils sont absents, vous obtenez une note, pas une erreur. |
| BIMI | Un enregistrement facultatif de logo de marque. Il ne compte que lorsque DMARC est sur quarantine ou reject avec pct=100. |
| MX | Liste les serveurs de messagerie. Un MX nul (0 .) signifie que le domaine n'accepte aucun courrier ; NXDOMAIN signifie que le domaine n'existe pas. |
D'autres exemples
Une URL au lieu d'un domaine
https://www.example.net/loginUne note indique que www.example.net est vérifié en tant qu'example.net, puis 6 requêtes DNS : SPF pass pour "v=spf1 -all", DMARC warn pour p=reject, sp=reject sans adresse rua, DKIM non vérifié, aucun enregistrement MTA-STS, TLS-RPT ou BIMI, et un MX nul.
Un domaine qui n'existe pas
nothing.exampleSPF fail (aucun enregistrement SPF), DMARC fail (aucun enregistrement DMARC) et MX fail, car nothing.example n'existe pas (NXDOMAIN). La ligne BIMI note que DMARC n'est pas en mode appliqué (enforcement).
Un nom d'enregistrement DKIM
google._domainkey.example.orgLe sélecteur google est placé dans le champ des sélecteurs et example.org est vérifié. La ligne DKIM indique "google: revoked", car l'enregistrement de la clé a un p= vide.
FAQ
Que consulte Email Authentication Checker ?
L'enregistrement SPF et chaque include et redirect qu'il entraîne, en comptant les termes qui déclenchent une requête DNS par rapport à la limite de 10 et les requêtes vides (void lookups) par rapport à la limite de 2 (RFC 7208). Il lit aussi l'enregistrement DMARC, en se rabattant sur le domaine organisationnel, les clés DKIM des sélecteurs que vous indiquez, et les enregistrements MTA-STS, TLS-RPT, BIMI et MX.
Que le vérificateur ne peut-il pas voir ?
Le DNS ne permet pas de lister les clés DKIM : chacune se trouve sous un sélecteur choisi par l'expéditeur. Saisissez donc la valeur s= de l'en-tête DKIM-Signature d'un message ou essayez les sélecteurs courants ; un échec ne prouve rien. Le fichier de politique MTA-STS et le logo BIMI ne sont pas téléchargés, et les macros SPF qui dépendent de l'expéditeur ne sont pas développées.
Qu'est-ce qui transite par le réseau ?
Uniquement des noms DNS construits à partir du domaine saisi, comme _dmarc.example.com, qui sont transmis au relais DNS de PhishDestroy, lequel interroge Cloudflare ou Google en DNS over HTTPS. Une vérification utilise environ 5 à 25 requêtes ; le relais en autorise 60 par minute.
Un bon résultat signifie-t-il qu'un e-mail de ce domaine est authentique ?
Non. Le vérificateur lit la politique publiée par le domaine, pas un message en particulier. Pour savoir si un e-mail donné a passé SPF, DKIM et DMARC, ouvrez sa source dans EML Analyzer.
Pourquoi DMARC est-il marqué warn même avec p=reject ?
Les avertissements couvrent aussi les réglages qui affaiblissent la couverture ou les rapports : pas d'adresse rua pour les rapports agrégés, un pct inférieur à 100 ou sp=none pour les sous-domaines. La politique reject elle-même s'applique toujours.
Qu'est-ce qu'une requête vide (void lookup) ?
Une requête DNS effectuée pendant l'évaluation de SPF qui ne renvoie aucun enregistrement exploitable, par exemple un terme a: ou mx: dont le nom n'a ni adresse ni serveur de messagerie. SPF en tolère deux ; une troisième le fait échouer avec un permerror.