Lire le trajet de bas en haut
Chaque serveur qui traite un message ajoute une ligne Received au-dessus de celles qui existent déjà. La première étape se trouve donc en bas et la dernière, le fournisseur de votre boîte mail, se trouve en haut. L'analyseur les transforme en une liste qui suit l'ordre du trajet du message, avec l'heure à laquelle chaque serveur indique l'avoir reçu et le délai depuis l'étape précédente.
Un délai de quelques secondes est normal. Plusieurs minutes signifient généralement que le message est resté dans une file d'attente, parce qu'un serveur de réception a demandé une nouvelle tentative de greylisting, qu'un relais était occupé ou que le filtre sortant de l'expéditeur l'a retenu. L'heure recule ? L'un des serveurs est mal réglé.
À quel Authentication-Results se fier
Authentication-Results (RFC 8601) est l'en-tête dans lequel un serveur de réception consigne ses verdicts SPF, DKIM, DMARC et parfois ARC. Un message peut contenir plusieurs de ces lignes, mais seule celle ajoutée par le serveur qui vous l'a remis fait foi. Toutes celles situées en dessous ont été écrites avant que votre fournisseur ne reçoive le message, par des serveurs auxquels vous n'avez aucune raison de faire confiance, et un expéditeur peut y inscrire ce qu'il veut.
L’analyseur retient celle située le plus haut comme verdict et répertorie les autres séparément. À côté, vous voyez les trois domaines qui déterminent l’alignement : le domaine From, le domaine d= de DKIM et le domaine Return-Path sur lequel SPF a été vérifié. DMARC réussit uniquement lorsque SPF ou DKIM réussit pour un domaine qui correspond au domaine From. La comparaison de ces domaines permet souvent d’expliquer un échec.
Où trouver les en-têtes d’un e-mail
Dans Gmail, ouvrez le message, cliquez sur les trois points à côté de Répondre, puis choisissez Afficher l’original. Dans Outlook sur le web, ouvrez le message, choisissez Autres actions, puis Afficher et Afficher les détails du message. Dans l’application de bureau Outlook, sélectionnez Fichier, puis Propriétés et la zone En-têtes Internet. Dans Apple Mail, sélectionnez Présentation, Message, Tous les en-têtes. Copiez tout jusqu’à la première ligne vide, qui marque le début du corps. Si vous collez le message entier, le corps est supprimé avant l’analyse.
Les en-têtes contiennent des adresses IP et des adresses e-mail. Ils sont lus en mémoire pour produire le résultat et ne sont ni stockés, ni mis en cache, ni journalisés.
Questions
Comment lire les en-têtes d’un e-mail ?
Commencez par la ligne Received la plus basse, puis remontez : c’est l’ordre dans lequel les serveurs ont traité le message. Consultez ensuite la ligne Authentication-Results ajoutée par votre propre fournisseur, celle située le plus haut, pour connaître les résultats SPF, DKIM et DMARC.
Pourquoi DKIM réussit-il alors que DMARC échoue ?
DMARC exige une signature DKIM valide dont le domaine d= correspond au domaine From, ou une vérification SPF réussie pour un domaine Return-Path qui lui correspond. Une signature provenant du propre domaine de votre plateforme d’envoi peut réussir DKIM sans contribuer à DMARC. L’analyseur affiche les trois domaines côte à côte afin de rendre la différence visible.
Guide complet : DMARC fail
Que signifie un long délai entre deux relais ?
Le message a attendu sur le serveur où le délai commence. Les causes courantes sont le greylisting, lorsque le destinataire demande à l’expéditeur de réessayer plus tard, une file d’attente d’envoi pleine ou un filtre qui analyse les e-mails avant de les transmettre. Un délai isolé de quelques minutes est rarement un problème de délivrabilité. Il explique pourquoi un message est arrivé en retard.
Les en-têtes d’un e-mail peuvent-ils être falsifiés ?
Tout ce qu’écrit un expéditeur peut l’être. Les lignes Received situées sous celles de votre propre fournisseur et les anciennes lignes Authentication-Results peuvent être inventées. Ce que votre fournisseur a ajouté en haut ne peut pas l’être, et il peut vérifier la signature DKIM à l’aide de la clé publique de l’expéditeur. L’analyseur ne vérifie pas lui-même les signatures. Il lit le verdict de votre fournisseur dans la ligne située le plus haut.
Qu’est-ce qu’ARC dans les en-têtes ?
ARC (RFC 8617) permet à un service de transfert, comme une liste de diffusion ou une adresse de transfert, d’enregistrer les résultats d’authentification observés avant de modifier le message. Le destinataire final peut alors décider de faire confiance à cet enregistrement lorsque le transfert a invalidé SPF ou DKIM.
Puis-je plutôt tester un message avant de l’envoyer ?
Oui. Les en-têtes n’existent qu’après la livraison d’un message. Pour vérifier une campagne ou un e-mail transactionnel avant qu’il n’atteigne un destinataire, envoyez-le à une adresse de test indiquée sur la page d’accueil. Vous obtiendrez ces résultats ainsi que la vérification des blacklists, du contenu, des liens et des règles applicables aux expéditeurs d’e-mails en masse dans un seul rapport.