Erreurs SPF, DKIM et DMARC fréquentes : que faire ?
Explications générales d'après les normes publiques (RFC 7208 pour SPF, RFC 6376 pour DKIM, RFC 9989 pour DMARC, qui remplace la RFC 7489). Chaque cas se corrige dans la zone DNS de votre domaine, chez votre hébergeur ou registrar.
SPF : « permerror » ou plus de 10 requêtes DNS
La norme limite à 10 le nombre de requêtes DNS déclenchées par un enregistrement SPF (include:, a, mx, ptr, exists:, redirect=). Au-delà, le résultat est une erreur permanente et le SPF est considéré comme invalide. Correction : retirer les include: de services que vous n'utilisez plus, remplacer a/mx par des adresses ip4: quand elles sont stables. Notre outil compte ces requêtes.
SPF : deux enregistrements SPF sur le même domaine
Un domaine ne doit publier qu'un seul enregistrement TXT commençant par v=spf1. Avec deux, le résultat est une erreur. Correction : fusionner les deux en une seule ligne, avec un seul all à la fin.
SPF : oubli de la fin (~all ou -all)
Sans mécanisme final, les expéditeurs non listés ne sont pas traités. ~all (échec souple) est un bon départ ; -all (échec strict) est plus protecteur une fois la liste d'expéditeurs vérifiée. Évitez +all : il autorise n'importe qui.
DKIM : « clé introuvable »
La clé DKIM est publiée sous sélecteur._domainkey.votredomaine.fr ; le sélecteur est choisi par votre prestataire (Google, Microsoft 365, newsletter...). Notre outil teste des sélecteurs courants seulement : ne rien trouver ne prouve pas l'absence de DKIM. Correction : activer DKIM dans l'interface de votre messagerie, qui indique le nom exact et la valeur à publier.
DMARC : enregistrement mal placé
L'enregistrement DMARC est un TXT publié sur _dmarc.votredomaine.fr (pas sur le domaine racine). Exemple de départ : v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr. La balise v=DMARC1 doit venir en premier.
DMARC : rester en p=none
none surveille sans rien bloquer : c'est la bonne étape de départ, mais elle ne protège pas contre l'usurpation. Après avoir lu les rapports et corrigé vos expéditeurs légitimes, passer à quarantine puis reject.
DMARC : SPF ou DKIM « aligné » manquant
DMARC réussit si SPF ou DKIM réussit et que le domaine vérifié correspond au domaine visible de l'adresse d'expéditeur (alignement). Un service tiers qui envoie avec son propre domaine échoue donc l'alignement : il faut configurer l'envoi « avec votre domaine » (DKIM personnalisé) chez ce service.
Testez votre domaine
Lancer le vérificateur gratuit — il lit vos enregistrements publics et explique le résultat.