Lire vous-même les en-têtes d'un email : Authentication-Results, Received et DKIM-Signature

Ce que ça veut dire

Chaque email transporte des lignes cachées appelées en-têtes (headers). Elles indiquent d'où vient le message, quels serveurs l'ont traité et quelles vérifications le destinataire a faites. Vous ne voyez que From, To, Subject et Date ; le reste est caché mais facile à afficher.

Pourquoi c'est important

• Quand un email arrive en spam, les en-têtes montrent souvent pourquoi : un SPF en échec, une signature DKIM cassée, un DMARC qui échoue.
• Les équipes de support des fournisseurs demandent « les en-têtes complets » avant de pouvoir vous aider.
• Vous pouvez vérifier n'importe quel email reçu, y compris les faux envoyés avec votre domaine.

Comment vérifier

Delivmail lit ces en-têtes pour vous : sur la page d'accueil (/), copiez votre adresse de test, envoyez-lui un email, et le rapport explique le SPF, le DKIM et le DMARC avec des mots simples. Pour les lire vous-même dans votre propre boîte :

• Gmail : ouvrez l'email, cliquez sur les trois points, choisissez « Afficher l'original ».
• Outlook : ouvrez l'email, utilisez le menu des trois points et cherchez « Afficher la source du message » ou « Afficher les détails du message ».
• Apple Mail et Thunderbird : cherchez « Source brute » ou « Afficher la source ».

Comment corriger

Lire les en-têtes ne corrige rien en soi, mais vous dit exactement quoi corriger. Cherchez ces trois en-têtes.

1. Authentication-Results

Ajouté par le serveur de réception. C'est le verdict :

Authentication-Results: mx.google.com;
  dkim=pass header.d=yourdomain.com header.s=s1;
  spf=pass smtp.mailfrom=bounces.yourdomain.com;
  dmarc=pass header.from=yourdomain.com

• spf= donne le résultat et le domaine vérifié (smtp.mailfrom).
• dkim= donne le résultat et le domaine qui a signé (header.d).
• dmarc= ne passe que si l'un de ces domaines correspond à votre domaine From.

Si header.d ou smtp.mailfrom affichent le domaine de votre fournisseur au lieu du vôtre, authentifiez votre domaine chez ce fournisseur.

2. Received

Chaque serveur ajoute une ligne Received au-dessus des autres. Lisez-les de bas en haut : la plus basse correspond au premier serveur, en général votre fournisseur ou votre propre serveur. Vous y trouvez l'adresse IP d'envoi, utile pour vérifier les blacklists sur /blacklists, et les délais entre deux étapes.

3. DKIM-Signature

Ajouté par l'expéditeur. Deux parties comptent :

• d= : le domaine signataire. Ce doit être votre domaine.
• s= : le sélecteur. La clé est publiée sous s._domainkey.d, par exemple s1._domainkey.yourdomain.com.

Aucun DKIM-Signature veut dire que l'email n'a pas été signé : activez le DKIM dans votre service d'envoi.

Attention aux lignes anciennes ou fausses

Ne faites confiance qu'à la ligne Authentication-Results ajoutée par votre propre fournisseur de messagerie (celle du haut). Les lignes plus bas peuvent venir de serveurs précédents, ou être falsifiées par des spammeurs.

Vérifiez que c'est corrigé

Après avoir modifié vos réglages, envoyez un nouvel email à vous-même et à une nouvelle adresse de test Delivmail. Dans les en-têtes, spf, dkim et dmarc doivent tous afficher pass avec votre domaine, et le rapport Delivmail doit dire la même chose.