Analyser les en-têtes d'un email
Un email annonce son expéditeur, et rien ne l'oblige à dire la vérité. Ses en-têtes, eux, consignent ce qui s'est réellement passé. Collez-les et lisez la différence.
SPF, DKIM, DMARC : que vérifient-ils vraiment ?
Trois mécanismes répondent à trois questions différentes, et ils ne prennent leur sens qu'ensemble. SPF demande si le serveur qui a envoyé le message figurait dans la liste des serveurs que le domaine autorise. DKIM demande si le message porte une signature cryptographique valide apposée par le domaine, ce qui prouve aussi qu'il n'a pas été modifié en route. DMARC demande ce que le domaine veut qu'on fasse quand l'un des deux premiers échoue, et si le domaine qui a passé les contrôles est bien celui affiché au lecteur.
La ruse pour laquelle cet outil a été fait
La falsification la plus efficace ne touche à aucun champ technique. Elle glisse une adresse leurre à l'intérieur du nom affiché, parce que la plupart des clients mail n'affichent que ce nom. Le message se lit comme venant de votre banque alors que la véritable adresse appartient à quelqu'un d'autre. Cet outil affiche toujours l'adresse réelle à côté du nom affiché, précisément pour rendre cet écart visible.
Comment lire le résultat
Trois passages signifient que l'expéditeur est bien celui qu'il annonce. Cela ne signifie pas que le message soit honnête : un vrai compte peut être piraté, et un escroc peut parfaitement authentifier son propre domaine. Un échec, en revanche, est un signal fort, en particulier sur un message qui se réclame d'une banque, d'un service public ou d'un transporteur. Ces domaines publient tous des politiques strictes.
Où trouver la source brute ?
- Gmail : ouvrez le message, les trois points en haut à droite, puis Afficher l'original.
- Outlook : Fichier, puis Propriétés, et copiez les en-têtes internet.
- Mail d'Apple : Présentation, puis Message, puis Source brute.
- Thunderbird : Affichage, puis Code source du message.
Questions fréquentes
Le message collé est-il envoyé quelque part ?
Non. Les en-têtes sont analysés dans votre navigateur et ne quittent jamais votre appareil. Rien n'est envoyé à notre serveur, rien n'est enregistré. Vous pouvez couper votre connexion : l'outil fonctionne encore.
Quelle différence entre SPF, DKIM et DMARC ?
SPF vérifie que le serveur d'envoi était autorisé par le domaine. DKIM vérifie une signature cryptographique, ce qui prouve en outre que le message n'a pas été modifié en route. DMARC indique ce que le domaine veut qu'on fasse quand l'un des deux premiers échoue, et exige que le domaine authentifié corresponde à celui affiché au lecteur.
Les trois passent. Puis-je faire confiance au message ?
Vous pouvez croire que l'expéditeur est bien celui qu'il annonce. Pas que le contenu soit honnête. Un compte légitime peut être piraté, et un escroc peut parfaitement authentifier son propre domaine. L'authentification répond à qui a envoyé, jamais à est-ce vrai.
Pourquoi l'outil affiche-t-il l'adresse réelle à part ?
Parce que la falsification la plus efficace glisse une adresse leurre dans le nom affiché, qui est souvent tout ce que montre un client mail. Mettre les deux côte à côte rend l'écart immédiatement visible.
SPF échoue. Le message est-il forcément frauduleux ?
Pas nécessairement : une liste de diffusion mal configurée ou un message transféré peuvent casser SPF. Mais sur un message se réclamant d'une banque, d'un service public ou d'un transporteur, un échec SPF ou DMARC est un signal sérieux, car ces domaines publient des politiques strictes.
Les autres outils
Ne ratez pas la prochaine analyse