Générateur d’enregistrements SPF, DKIM et DMARC pour ton domaine

Trois enregistrements DNS permettent aux serveurs mail destinataires de vérifier qu’un e-mail provient bien de ton domaine. SPF répertorie les serveurs autorisés à envoyer, DKIM signe chaque e-mail avec une clé et DMARC définit le traitement des e-mails qui échouent aux deux vérifications. Gmail et Yahoo exigent les trois pour les expéditeurs qui envoient beaucoup d’e-mails.

Dans l’onglet SPF, sélectionne tes fournisseurs de boîtes mail et tes services d’envoi, active mx ou a pour ton propre serveur et ajoute d’autres adresses IP ou noms d’hôte. Le générateur crée un enregistrement qui commence par v=spf1 et se termine par ~all, -all ou ?all. Un domaine ne peut avoir qu’un seul enregistrement SPF : si tu en as déjà un, charge-le avec « Charger les enregistrements existants » et complète-le plutôt que d’en créer un second.

Les modèles couvrent 13 fournisseurs. Pour un autre fournisseur, saisis son nom d’hôte SPF, indiqué dans sa documentation, dans le champ « Autres IP et services » : le générateur en fera un include. Les adresses IP deviennent des entrées ip4 ou ip6. Dans l’onglet DKIM, choisis « Autre fournisseur » et ajoute le sélecteur et la valeur.

C’est ce que prévoit la norme SPF (RFC 7208) : include, a, mx, ptr, exists et redirect déclenchent chacun une requête, et un include peut en contenir d’autres. À partir de la onzième requête, les serveurs mail considèrent l’enregistrement comme une permerror et SPF échoue. Le générateur compte les requêtes au premier niveau. Si tu approches de la limite, remplace les includes par des entrées ip4 et ip6 fixes.

Dans l’onglet DKIM, choisis « Générer une clé », saisis un sélecteur comme mail, choisis 2048 ou 1024 bits et clique sur « Générer une paire de clés ». Ajoute la clé publique sous forme d’enregistrement TXT à selecteur._domainkey. Télécharge la clé privée et place-la sur ton serveur : l’outil affiche aussi les lignes correspondantes pour KeyTable et SigningTable d’OpenDKIM. La paire de clés est générée uniquement dans ton navigateur.

Ton fournisseur génère la clé : pour Google Workspace, dans la console d’administration sous Gmail > Authentifier les e-mails ; pour Microsoft 365, dans le portail Defender sous Authentification des e-mails. Google fournit une valeur TXT, Microsoft deux cibles CNAME pour selector1 et selector2. Choisis le fournisseur dans l’onglet DKIM et saisis les valeurs.

Commence par p=none et une adresse de réception des rapports (rua) pour voir, pendant quelques semaines, qui envoie des e-mails en ton nom. Une fois que tous les expéditeurs légitimes passent les contrôles SPF ou DKIM, passe à p=quarantine (dossier spam), puis à p=reject (rejet). Seules ces deux politiques protègent contre les faux expéditeurs. Si les rapports sont envoyés à un autre domaine, le générateur indique l’enregistrement TXT que ce domaine doit publier pour en autoriser la réception.

Oui. Tu peux générer les enregistrements, créer la clé DKIM et tout copier sans te connecter. Tu dois te connecter uniquement pour les ajouter directement à un domaine dont ZAP-Hosting gère les DNS. L’outil t’indique d’abord quels enregistrements sont nouveaux et lesquels remplacent un enregistrement SPF, DKIM ou DMARC existant. Tu peux ensuite vérifier gratuitement leur publication avec l’Email DNS Health Checker. Accéder à l’Email DNS Health Checker