Contrôle e-mailpar Jarod Capella
Contrôle e-mail / Testeur d'alignement DMARC

Testeur d'alignement DMARC

Par Jarod Capella · Mis à jour le 14 novembre 2026 · 2 min de lecture

Cas fréquent : l'en-tête d'un message affiche spf=pass et dkim=pass, et pourtant dmarc=fail. La raison est presque toujours l'alignement : DMARC ne regarde pas seulement si SPF ou DKIM passent, il regarde si le domaine authentifié correspond au domaine de l'adresse visible dans « De ». Renseignez les trois domaines lus dans les en-têtes du message (l'analyseur d'en-têtes les extrait). Le calcul se fait dans votre navigateur, rien n'est envoyé.

Verdict

    La règle

    • Un message réussit DMARC si SPF réussit et s'aligne, ou si DKIM réussit et s'aligne. Un seul des deux suffit (RFC 9989, section 4.4).
    • Pour SPF, le domaine comparé est celui du MAIL FROM (le Return-Path), pas celui de l'adresse visible (RFC 9989, section 4.4.2).
    • Pour DKIM, c'est le d= de la signature qui est comparé. Avec plusieurs signatures, une seule alignée suffit (section 4.4.1).
    • Relaxed : les deux domaines ont le même domaine organisationnel (mail.exemple.fr et exemple.fr s'alignent). Strict : les deux domaines sont identiques. La comparaison ignore la casse.

    Le cas typique des envois via un prestataire

    Une plateforme d'envoi (newsletter, facturation, CRM) envoie par défaut avec son propre Return-Path, par exemple bounce.plateforme.com. SPF passe, mais sur le domaine du prestataire : il ne s'aligne pas avec exemple.fr. Si le prestataire signe avec d=plateforme.com, DKIM ne s'aligne pas non plus, et le message échoue DMARC. Le correctif se trouve dans l'interface du prestataire : activer l'authentification de votre domaine (souvent deux ou trois enregistrements CNAME à publier dans votre DNS), pour que la signature se fasse avec d=exemple.fr.

    Limites de l'outil

    Le domaine organisationnel est approximé : les deux derniers libellés du nom, ou les trois derniers pour une courte liste de suffixes à deux niveaux (co.uk, com.au, org.uk, co.jp, com.br, gouv.fr et quelques autres). La RFC 9989 (mai 2026, lue sur rfc-editor.org le 06/11/2026) définit le domaine organisationnel par un parcours de l'arbre DNS (section 4.10), pas par cette approximation : pour un suffixe rare, le verdict relaxed peut différer. En mode strict, la comparaison est exacte. Générez ensuite l'enregistrement qui convient avec le générateur DMARC.