SMTP, SPF, DKIM & DMARC — mémo : fiche mémo IT

Référence pour suivre un message de l’envoi à la réception et diagnostiquer transport SMTP, SPF, DKIM, DMARC, alignement et réputation.

Ports & rôles SMTP

25/TCP — SMTP serveur à serveurPort standard des échanges entre MTA ; souvent filtré en sortie chez les particuliers.
587/TCP — Message SubmissionPort recommandé pour client/app authentifié avec STARTTLS selon fournisseur.
465/TCP — Submission TLS impliciteCouramment proposé par les fournisseurs pour TLS dès la connexion.
993/TCP — IMAP sur TLSAccès boîte aux lettres, distinct de l’envoi SMTP.

2xx — Succès250 indique généralement que l’étape SMTP a été acceptée.
4xx — Échec temporaireLe MTA émetteur doit normalement retenter plus tard.
550 / 5.1.1 — Destinataire rejeté/inexistantVérifiez adresse, domaine et routage du destinataire.
5.7.x — Politique / authentification / sécuritéSouvent lié à relais, anti-spam, SPF/DKIM/DMARC ou droits.

Emplacement — TXT à la racine du domaineLe SPF est publié en TXT ; plusieurs enregistrements SPF séparés rendent la politique invalide.
Exemple — v=spf1 include:spf.protection.outlook.com -allAutorise l’infrastructure déclarée puis refuse les autres sources.
Limite DNS — 10 mécanismes/modificateurs générant des recherches DNSLes include, a, mx, exists et redirect peuvent consommer la limite.
Vérifier — Resolve-DnsName exemple.fr -Type TXTContrôlez qu’un seul SPF v=spf1 est publié.

Sélecteur — selector._domainkey.exemple.frPermet plusieurs clés et rotations sans changer le domaine From.
Clé publique — v=DKIM1; k=rsa; p=…Le DNS contient la clé publique ; la clé privée reste uniquement côté service émetteur.
Résoudre le sélecteur — Resolve-DnsName selector1._domainkey.exemple.fr -Type TXTUtilisez le sélecteur visible dans l’en-tête DKIM-Signature.
Rotation — Publier nouvelle clé → basculer signature → retirer ancienne cléConservez un chevauchement suffisant pour les messages encore en transit.

Emplacement — _dmarc.exemple.fr TXTLa politique DMARC est publiée sous _dmarc.
Politiques — p=none | quarantine | rejectCommencez souvent par none pour observer avant enforcement.
Alignement SPF — MAIL FROM / Return-Path aligné avec FromUn SPF pass seul ne suffit pas si le domaine n’est pas aligné.
Alignement DKIM — d= de DKIM aligné avec FromDMARC passe si au moins un mécanisme aligné réussit.

MX — Resolve-DnsName exemple.fr -Type MXVérifie les serveurs de réception publiés.
DMARC — Resolve-DnsName _dmarc.exemple.fr -Type TXTContrôle politique et adresses de reporting.
SMTP 587 — Test-NetConnection smtp.exemple.fr -Port 587Valide seulement le TCP, pas l’authentification ni l’envoi.
TLS SMTP — openssl s_client -starttls smtp -connect smtp.exemple.fr:587 -servername smtp.exemple.frInspecte certificat et négociation STARTTLS depuis un système disposant d’OpenSSL.

Received — Chaîne des relais SMTPLisez de bas en haut pour reconstituer le chemin initial vers le destinataire.
Authentication-Results — Résultats SPF/DKIM/DMARC du récepteurC’est souvent la preuve la plus utile d’un échec d’authentification.
Return-Path — Adresse d’enveloppe après livraisonUtilisée dans l’évaluation SPF et le traitement des bounces.
Message-ID — Identifiant du messageÀ conserver pour corrélation dans les traces de messagerie.

1. Transport — MX + port + code SMTPConfirmez que le message atteint le bon service avant l’authentification de domaine.
2. Source — IP / Return-Path / HELOIdentifiez la vraie source d’envoi, notamment pour applications et relais.
3. Authentification — SPF + DKIM + DMARCVérifiez pass/fail et surtout l’alignement avec From.
4. Réputation/politique — Antispam, blocklist, tenant policyUn message authentifié peut toujours être bloqué par contenu ou réputation.

Ne publiez qu’un seul enregistrement SPF v=spf1 par domaine.
N’activez pas p=reject tant que toutes les sources d’envoi légitimes ne sont pas identifiées.
Ne partagez jamais une clé privée DKIM dans un ticket ou un outil web.
Conservez les en-têtes complets d’un message rejeté : ils valent souvent mieux qu’une capture d’écran.