DMARC checker avec correctifs à copier
Saisissez un domaine ou une adresse email. Vous obtenez l'enregistrement qui s'applique, le rôle de chaque balise selon la RFC 9989 (mai 2026) et ce qu'attendent Gmail, Yahoo et Microsoft, puis un enregistrement corrigé à copier. Gratuit et sans inscription ; rien n'est conservé.
Votre domaine
Essayez : salesforce.com, paypal.com
Comment lire votre résultat
Quatre parties, la plus urgente d'abord.
- 1
Le verdict
Quatre états possibles (aucun enregistrement, surveillance, quarantaine ou rejet), chacun signalé par une icône et un mot. La barre indique le chemin déjà parcouru par votre domaine vers une politique restrictive.
- 2
Ce qu'il faut corriger d'abord
Les erreurs qui empêchent DMARC de fonctionner viennent en premier, puis les recommandations, puis les conseils. Chaque point cite sa règle et sa source.
- 3
Gmail, Yahoo et Microsoft
Ce que les trois demandent aux expéditeurs en masse et ce que le DNS montre pour votre domaine. L'alignement et la désinscription en un clic n'apparaissent que dans un email envoyé : le résultat vous indique donc où regarder.
- 4
Votre enregistrement amélioré
Vos paramètres valides, sans les balises obsolètes, avec la politique de votre choix. Copiez-le dans un enregistrement TXT sur _dmarc.
Qu'est-ce que DMARC ?
DMARC (Domain-based Message Authentication, Reporting and Conformance) indique aux serveurs de messagerie destinataires quoi faire des emails qui se réclament de votre domaine sans passer l'authentification : les distribuer, les placer en spam ou les refuser. Il leur demande aussi de vous envoyer des rapports, pour que vous voyiez qui envoie en votre nom.
- SPF. Liste les serveurs autorisés à envoyer pour un domaine. Il vérifie le return-path, l'adresse où reviennent les rebonds, et non l'adresse From que voient les destinataires.
- DKIM. Signe chaque message. Les destinataires vérifient la signature avec une clé publique que le domaine signataire publie dans son DNS.
- DMARC. Un enregistrement TXT sur
_dmarc.yourdomain.com, défini depuis mai 2026 par la RFC 9989 (qui a remplacé la RFC 7489). DMARC passe quand SPF ou DKIM passe pour un domaine qui correspond à l'adresse From.
p=none, quarantine ou reject ?
La politique décide du sort des emails qui ne passent pas DMARC. Commencez par none, terminez par reject.
| Politique | Emails en échec | À utiliser quand |
|---|---|---|
| p=none | Distribués normalement ; vous recevez des rapports. | Vous débutez, ou vous ajoutez un nouvel outil d'envoi. |
| p=quarantine | Vont dans le dossier spam. | Les rapports montrent que vos propres expéditeurs passent DMARC. |
| p=reject | Le serveur destinataire les refuse. | Seuls les emails usurpés échouent encore. |
Durcir votre politique sans perdre d'emails
Cinq étapes, du premier enregistrement jusqu'à reject. Le vérificateur vous indique à quelle étape vous en êtes.
- 1
Publiez p=none avec une adresse de rapport
v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Utilisez une boîte mail que quelqu'un consulte, ou un service de rapports DMARC. - 2
Lisez les rapports pendant deux à quatre semaines
Listez chaque service qui envoie en votre nom : outil d'emailing, CRM, outil de support, facturation. Chacun doit passer SPF ou DKIM pour votre domaine.
- 3
Corrigez les expéditeurs
Mettez en place DKIM dans chaque outil ; dans Account Engagement (Pardot), cela passe par l'enregistrement DomainKey. Vous pouvez aussi attribuer à un expéditeur son propre sous-domaine.
- 4
Quarantine, d'abord avec t=y
Passez à p=quarantine et ajoutez t=y comme filet de sécurité pendant que vous suivez les rapports. Nouveauté de la RFC 9989, t=y assouplit la politique d'un cran (les destinataires traitent reject comme quarantine et quarantine comme none) et remplace pct, désormais supprimé. Retirez ensuite t=y.
- 5
Reject
Quand seuls les emails usurpés échouent encore, passez à p=reject. Ajoutez np=reject pour que les sous-domaines inexistants soient eux aussi refusés.
Rapports DMARC
Sans rapports, chaque pas vers reject se fait à l'aveugle.
Les rapports agrégés (rua) sont envoyés régulièrement, en général une fois par jour, par des fournisseurs de messagerie comme Gmail et Yahoo.
Les rapports d'échec (ruf) décrivent des messages isolés qui ont échoué ; tous les destinataires ne les envoient pas. Ils peuvent contenir des données personnelles, comme des adresses email et des objets de message. Envoyez-les donc uniquement à une boîte mail ou à un service avec lequel vous avez un contrat de sous-traitance (RGPD).
Les rapports envoyés à un autre domaine nécessitent l'accord de ce domaine : un enregistrement TXT yourdomain.com._report._dmarc.theirdomain.com avec v=DMARC1 (RFC 9990 (s'ouvre dans un nouvel onglet), section 4). Les services de rapports le publient dès que vous ajoutez votre domaine à votre compte ; le vérificateur le teste pour chaque adresse.
Dans un rapport agrégé
- Quels serveurs ont envoyé des emails au nom de votre domaine
- Combien de messages ont passé SPF, DKIM et DMARC
- Aucun contenu de message : uniquement des décomptes et des adresses de serveurs
Les règles de Gmail, Yahoo et Microsoft
Les trois demandent aux expéditeurs en masse un enregistrement DMARC en p=none au minimum. Vérifié le 16 octobre 2026.
- 5 000Messages par jour : le seuil à partir duquel Gmail et Microsoft vous considèrent comme expéditeur en masse
- 2 joursLe délai que Yahoo vous laisse pour traiter une désinscription
- 2048Bits : la longueur de clé DKIM recommandée par Google
| Fournisseur | Depuis | Concerne | DMARC | Également exigé |
|---|---|---|---|---|
| Gmail | 1er février 2024 ; contrôle renforcé depuis novembre 2025 | À partir d'environ 5 000 messages par jour vers des comptes Gmail personnels | p=none ou plus strict ; From aligné sur SPF ou DKIM | SPF et DKIM, désinscription en un clic, taux de spam inférieur à 0,3 % |
| Yahoo | Février 2024 | Expéditeurs en masse | p=none ou plus strict, DMARC réussi ; From aligné sur SPF ou DKIM | SPF et DKIM, désinscription en un clic traitée sous 2 jours, taux de spam inférieur à 0,3 % |
| Microsoft Outlook.com | 5 mai 2025 | Plus de 5 000 messages par jour vers des adresses Outlook.com, Hotmail et Live | p=none ou plus strict ; From aligné sur SPF ou DKIM | SPF et DKIM doivent être validés |
Erreurs DMARC fréquentes
Ce que signalent les vérificateurs, ce que cela signifie et comment y remédier.
- Aucun enregistrement DMARC trouvé. Rien sur
_dmarc.ni sur un domaine parent. Correctif : ajoutez sur_dmarcun enregistrement TXT du typev=DMARC1; p=none; rua=mailto:… - Plusieurs enregistrements DMARC. Deux enregistrements TXT sur le même nom commencent par v=DMARC1. Correctif : fusionnez-les en un seul, car les serveurs destinataires les ignorent tous.
- Enregistrement sur le mauvais hôte. L'enregistrement se trouve sur le domaine lui-même. Correctif : déplacez-le vers le nom d'hôte
_dmarc. - v=DMARC1 absent ou mal placé. Version absente, mal orthographiée ou placée plus loin dans l'enregistrement. Correctif : commencez l'enregistrement par
v=DMARC1, en majuscules. - Politique non valide. Souvent un point-virgule manquant :
p=none rua=…se lit comme une seule valeur. Correctif : séparez chaque balise par un point-virgule. - Destination externe non autorisée. Le domaine destinataire des rapports n'a pas accepté de recevoir les vôtres. Correctif : ajoutez votre domaine dans le service de rapports, ou demandez-lui de publier l'enregistrement
_report._dmarc. - pct inférieur à 100. La RFC 9989 a supprimé pct ; anciens et nouveaux serveurs destinataires ne réagissent pas de la même façon. Correctif : supprimez pct ; utilisez t=y pour tester.
- SPF : trop de requêtes DNS. Plus de 10 requêtes provoquent une erreur SPF permanente. Correctif : retirez les includes des services que vous n'utilisez plus.
Pour Pardot et Marketing Cloud Next
Ce que disent les pages d'aide de Salesforce sur DMARC (vérifié le 16 octobre 2026).
Account Engagement (Pardot)
Pardot signe en DKIM avec le sélecteur
200608: c'est l'enregistrement DomainKey de Domain Management. Son return-path est un domaine de rebond Salesforce, si bien que SPF passe sans être aligné sur votre domaine. Votre résultat DMARC dépend de DKIM : vérifiez la clé avant d'aller au-delà de p=none. Pardot ajoute lui-même l'en-tête List-Unsubscribe en un clic.Marketing Cloud Next
Marketing Cloud Next envoie depuis un domaine authentifié : huit enregistrements CNAME fournis par Salesforce, dont trois clés DKIM de 2048 bits avec des sélecteurs propres à chaque compte (
s1-e360-…). SPF est couvert par le CNAME de rebond. Salesforce active le domaine sans DMARC, mais Gmail, Yahoo et Microsoft l'attendent quand même. Utilisez un sous-domaine depuis lequel aucune autre plateforme n'envoie, Pardot compris.
Ce qu'un contrôle DNS ne peut pas vous dire
L'enregistrement ne dit pas tout. Si votre domaine reste bloqué entre p=none et reject, nous lisons les rapports avec vous et corrigeons les expéditeurs dans Pardot ou Marketing Cloud Next.
- Le résultat DMARC de vos emails. L'alignement se voit dans un message envoyé. Dans Gmail, ouvrez l'un de vos emails, choisissez « Afficher l'original » et cherchez « DMARC: PASS ».
- Qui usurpe votre domaine. Seuls les rapports agrégés montrent les serveurs qui envoient en votre nom.
- Votre réputation. Le taux de spam et la réputation chez Gmail se consultent dans Google Postmaster Tools.
- Quelle norme suit un serveur destinataire. Les serveurs qui suivent encore la RFC 7489 peuvent appliquer pct et déterminer le domaine organisationnel à l'aide de la Public Suffix List. Pour la plupart des domaines, le résultat est le même.
FAQ sur le DMARC checker
Des réponses courtes aux questions les plus fréquentes sur les enregistrements DMARC.
Comment vérifier mon enregistrement DMARC ?
Saisissez votre domaine ci-dessus : le vérificateur lit l'enregistrement TXT sur _dmarc.yourdomain.com et, s'il n'y en a pas, celui de ses domaines parents.
En ligne de commande : dig TXT _dmarc.example.com ou nslookup -type=TXT _dmarc.example.com.
p=none suffit-il ?
Pour Gmail, Yahoo et Microsoft, oui : p=none répond à leur exigence minimale pour les expéditeurs en masse.
En revanche, il ne protège pas votre domaine. Les emails usurpés restent distribués : voyez p=none comme un point de départ, puis passez à quarantine et enfin à reject.
Qu'est-ce qu'un bon enregistrement DMARC ?
Pour commencer : v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com.
L'objectif : v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com, atteint étape par étape, une fois que les rapports montrent que chaque expéditeur passe le contrôle.
Peut-on avoir plusieurs enregistrements DMARC ?
Non. Si un même nom porte plus d'un enregistrement commençant par v=DMARC1, les serveurs destinataires les ignorent tous (RFC 9989, section 4.10).
Regroupez tout dans un seul enregistrement ; plusieurs adresses de rapport se placent dans rua, séparées par des virgules.
Combien de temps faut-il pour qu'une modification DMARC prenne effet ?
Comptez la durée du TTL de l'ancien enregistrement : les résolveurs conservent une réponse jusqu'à son expiration. Le vérificateur affiche le TTL de votre enregistrement en secondes ; vérifiez de nouveau une fois ce délai écoulé.
DMARC s'applique-t-il aux sous-domaines ?
Oui. Un sous-domaine sans enregistrement propre reprend la politique de son domaine organisationnel : sp s'il est défini, sinon p.
np, nouveau dans la RFC 9989, couvre les sous-domaines inexistants, prisés des usurpateurs.
pct est-il encore valable ?
Non. La RFC 9989 (mai 2026) a supprimé pct, rf et ri. Les serveurs destinataires qui la suivent les ignorent ; les plus anciens peuvent encore appliquer pct.
Pour tester une politique plus stricte, utilisez plutôt t=y.
Faut-il DKIM pour DMARC ?
DMARC passe quand SPF ou DKIM passe et est aligné : en principe, l'un des deux suffit.
Gmail, Yahoo et Microsoft demandent les deux aux expéditeurs en masse, et avec Pardot, seul DKIM est aligné. Mettez-le en place.
Le domaine que je vérifie est-il conservé ?
Non. Votre navigateur envoie les noms de domaine à notre serveur, qui interroge un résolveur DNS public. Rien n'est stocké, aucun domaine n'est journalisé, et le résolveur ne voit jamais votre adresse IP.
Autres outils gratuits
Avec nous, Salesforce Marketing travaille pour vous
Parlez à un consultant certifié, pas à un commercial, et sortez du premier appel en sachant quelle est votre prochaine étape.