Collez l’enregistrement TXT ou choisissez son type. Le contrôle est purement textuel : pas de requête DNS, pas de vérification de signature, pas de test de livraison.
Fonctionne localement dans votre navigateurL’analyseur lit l’enregistrement collé comme du texte et le confronte aux règles de sa propre spécification : mécanismes et modificateurs SPF (RFC 7208), balises DMARC (RFC 7489) et enregistrements de clé DKIM (RFC 6376, mis à jour par le RFC 8301). Chaque constat nomme la règle que la ligne enfreint.
Rien n’est interrogé ni vérifié : aucune requête DNS, aucune signature de message contrôlée, aucune délivrabilité testée. Un enregistrement accepté ici est un texte cohérent ; sa conformité avec ce que publie réellement le domaine doit être confirmée côté DNS.
Les mécanismes sont lus dans l’ordre avec leur qualificatif (+ pass, - fail, ~ softfail, ? neutral), et l’enregistrement n’a pas besoin de finir par all : sans lui, ou avec redirect=, le résultat d’un hôte sans correspondance dépend des valeurs présentes.
La limite de dix termes du RFC 7208 couvre include, a, mx, ptr, exists et redirect. ip4, ip6, all et exp ne comptent pas, et un terme dupliqué compte à nouveau. Les mécanismes placés après all figurent au tableau mais ne s’exécutent jamais.
v=DMARC1 doit venir en premier, et p= (none, quarantine ou reject) est ce que les récepteurs appliquent ; sp= fixe la politique des sous-domaines et pct= limite la part de courrier concernée.
rua= et ruf= attendent des URI, en pratique des adresses mailto:. adkim et aspf acceptent r ou s, fo n’agit qu’avec ruf=, rf ne connaît que afrf, et les balises non définies par DMARC sont ignorées plutôt que rejetées.
Une clé se publie par sélecteur : v=DKIM1 d’abord, k= en rsa ou ed25519, p= contenant la clé publique en base64. Un p= vide n’est pas une erreur : il révoque la clé.
Le RFC 8301 fixe le plancher cryptographique : en dessous de 1024 bits, aucune signature valide n’est possible, 2048 bits sont recommandés et SHA-1 est proscrit. La balise s= doit inclure email, et t=y signale un mode test.
Les chaînes d’include SPF, l’alignement DMARC et les enregistrements de sélecteur DKIM se résolvent en DNS au moment de la remise. L’analyseur ne juge que le texte fourni : l’absence de constat ne garantit pas qu’un domaine envoie du courrier authentifié.
L’enregistrement de clé DKIM dépend aussi du sélecteur : collez celui du sélecteur qui signe réellement (par exemple selector1._domainkey), pas celui de la racine du domaine.