Ce que montre l'analyseur
Trajet. Chaque serveur qui transmet un email ajoute une ligne Received: en haut, la liste se lit donc du plus récent au plus ancien. L'analyseur l'inverse (le plus ancien d'abord) et calcule à partir des horodatages le délai entre chaque relais. Si un message est arrivé deux heures plus tard, il a généralement été bloqué à un relais, et c'est ainsi que vous trouvez lequel.
Authentification. Les résultats SPF, DKIM, DMARC et ARC enregistrés par votre fournisseur, avec une courte explication de ce que teste chaque vérification.
Signaux d'alerte. Un Reply-To sur un autre domaine que l'adresse d'expéditeur, un domaine expéditeur qui n'a pas signé le message, un échec DMARC, ou des en-têtes sans aucune ligne Received.
SPF, DKIM et DMARC en quelques mots
| SPF | Le domaine de l'expéditeur d'enveloppe caché (Return-Path) publie la liste des serveurs autorisés à envoyer en son nom. Pass signifie que le serveur d'envoi figurait sur la liste. Cela ne dit rien de l'adresse d'expéditeur visible. |
| DKIM | Le domaine d'envoi signe le message avec une clé privée, et le destinataire le vérifie avec la clé publique publiée dans le DNS. Pass signifie que les parties signées n'ont pas été modifiées en chemin. Le domaine signataire est la valeur d=. |
| DMARC | Relie les deux au domaine d'expéditeur visible : DMARC n'est réussi que si SPF ou DKIM a réussi pour un domaine qui correspond à l'adresse d'expéditeur. C'est cette vérification qui empêche quelqu'un d'écrire au nom de votre banque depuis son propre serveur. |
Depuis février 2024, Gmail et Yahoo exigent des expéditeurs en masse qu'ils passent DMARC. Il est donc rare que l'email d'une entreprise sérieuse échoue. Si un message qui vous demande de vous connecter ou de payer échoue à DMARC, c'est un fort signe d'hameçonnage.
Causes fréquentes des emails en retard
Quand un code de vérification arrive en retard, le tableau des relais en donne généralement la raison. Un long écart au premier relais signifie que la file d'attente de l'expéditeur était déjà lente. Un écart au serveur destinataire indique souvent un greylisting : le serveur refuse la première tentative et attend une seconde, que les expéditeurs légitimes lancent après quelques minutes. Utilisez la recherche MX pour vérifier les serveurs de messagerie du domaine destinataire.
Questions fréquentes
Où trouver les en-têtes bruts ?
Gmail : ouvrez l'email, menu à trois points, puis Afficher l'original. Outlook sur le web : menu à trois points, Afficher, Afficher la source du message. Apple Mail : Présentation, Message, Tous les en-têtes. Thunderbird : Affichage, Source du message (Ctrl+U). Copiez tout ce qui précède la première ligne vide, ou simplement tout : l'analyseur s'arrête au corps du message.
Les en-têtes sont-ils envoyés quelque part ?
Non. Ils sont analysés en JavaScript sur cette page et ne quittent jamais votre navigateur. Les en-têtes peuvent contenir votre adresse et des adresses IP, c'est donc important.
Puis-je me fier aux résultats SPF, DKIM et DMARC affichés ?
Ce sont les résultats que votre propre fournisseur de messagerie a enregistrés à la réception (l'en-tête Authentication-Results). L'analyseur ne revérifie pas les signatures : il lit et explique ce que le serveur destinataire a décidé. Les en-têtes plus bas peuvent être falsifiés par l'expéditeur, ce sont donc les résultats du haut, ajoutés par votre fournisseur, qui comptent.
Pourquoi le délai d'un relais est-il négatif ?
Les horloges des serveurs ne sont pas parfaitement synchronisées. Chaque serveur indique sa propre heure, donc quelques secondes de délai négatif signifient simplement qu'une horloge avance. Les grands écarts (minutes ou heures) indiquent généralement un greylisting, une file d'attente antispam ou un expéditeur limité.