Comment auditer tous les domaines que possède votre entreprise (DMARC, CNAME et redirections)

Faites passer chaque domaine que possède votre entreprise par trois contrôles : DMARC, CNAME et redirections. Les domaines de réserve, les domaines à faute de frappe, les anciens sites de campagne et les marques rachetées sont là où se cachent l'usurpation, les enregistrements orphelins et les redirections cassées, parce que personne ne les regarde. Le vérificateur DMARC en masse, la recherche CNAME en masse et le vérificateur de redirections en masse prennent chacun toute la liste d'un coup.

Commencer par DMARC sur chaque domaine →

Lancer les trois contrôles

1. Dressez la liste. La liste des domaines de votre compte chez le registrar fait foi ; ajoutez les domaines détenus chez d'autres registrars ou par d'autres équipes.
2. DMARC. Collez les domaines dans le vérificateur DMARC en masse et cliquez sur Check DMARC (vérifier DMARC). Filtrez sur No DMARC et Monitoring only.
3. CNAME. Exportez les noms d'hôte de chaque zone, collez-les dans la recherche CNAME en masse et cliquez sur Look up CNAMEs (rechercher les CNAME). Filtrez sur Dangling et Doesn't exist.
4. Redirections. Collez chaque domaine sous la forme http://domain dans le vérificateur de redirections en masse et cliquez sur Check redirects (vérifier les redirections). Filtrez sur Broken, Loop et les longues chaînes.

Chaque outil prend jusqu'à 100 lignes par passage, ou 500 après une connexion Google gratuite, et permet de télécharger un CSV.

Le faire à la main

Une seule boucle pour DMARC, MX, SPF et la destination du site web :

printf "fb.com\ninstagr.am\nwikipedia.com\n" > portfolio.txt

while read -r d; do
  p=$(dig +short txt "_dmarc.$d" | tr -d '"' | grep '^v=DMARC1' | sed -n 's/.*[; ]p=\([a-z]*\).*/\1/p')
  mx=$(dig +short mx "$d" | sort -n | head -1)
  spf=$(dig +short txt "$d" | grep -o 'v=spf1[^"]*' | head -1 | cut -c1-20)
  web=$(curl -s -o /dev/null -m 10 -L -w '%{num_redirects} hops,%{http_code},%{url_effective}' "http://$d")
  echo "$d | dmarc=${p:-NONE} | mx=${mx:-none} | spf=${spf:-none} | $web"
done < portfolio.txt
# fb.com | dmarc=reject | mx=10 mxa-00082601.gslb.pphosted.com. | spf=v=spf1 redirect=_spf | 2 hops,200,https://www.facebook.com/
# instagr.am | dmarc=reject | mx=1 ASPMX.L.GOOGLE.COM. | spf=v=spf1 include:spf.m | 2 hops,200,https://www.instagram.com/
# wikipedia.com | dmarc=NONE | mx=none | spf=v=spf1 -all | 2 hops,200,https://www.wikipedia.org/

Nous avons lancé cette commande le 9 novembre 2026 sur trois domaines publics courts ou alternatifs. Le cut garde la colonne SPF courte ; retirez-le pour voir l'enregistrement complet. Pour la partie CNAME, utilisez la boucle de trouver les CNAME orphelins.

La troisième ligne est le domaine de réserve typique : pas de MX et un enregistrement SPF qui n'autorise aucun expéditeur, mais pas d'enregistrement DMARC, donc rien ne demande aux destinataires de rejeter les emails qui l'usurpent.

À quoi doit ressembler chaque domaine de réserve

• N'envoie pas d'emails : un enregistrement SPF v=spf1 -all et un enregistrement DMARC avec p=reject. Comme il n'y a aucun email légitime à casser, aucune raison de commencer par none. Voir les exemples d'enregistrements DMARC pour l'enregistrement d'un domaine parqué.
• Ne reçoit pas d'emails : un MX nul. La RFC 7505 le définit comme un unique enregistrement MX de préférence 0 et de cible ., qui indique aux expéditeurs que le domaine n'accepte aucun email. Voir les enregistrements MX nuls.
• Sous-domaines inventés : la RFC 9989, la norme DMARC depuis mai 2026, ajoute np= pour les sous-domaines qui n'existent pas. Sans elle, c'est sp= ou p= qui s'applique à eux.
• Site web : un ou deux sauts permanents vers une page active. Un domaine de réserve qui répond par une page de parking du registrar ou par une erreur a l'air abandonné ; voir ce qu'est un domaine parqué.
• Pas de CNAME orphelins. Supprimez les enregistrements des services que vous n'utilisez plus. La page de MDN sur la prise de contrôle de sous-domaine recommande de tenir "an inventory of all of your organization's domains and their hosting providers" (un inventaire de tous les domaines de votre organisation et de leurs hébergeurs) pour que rien ne reste orphelin. La liste de domaines que vous venez de dresser est cet inventaire.

Étape suivante : vérifier les domaines depuis lesquels vous envoyez vraiment

Les domaines de réserve doivent être verrouillés ; les domaines d'envoi ont besoin de listes propres. Importez la liste à laquelle vous écrivez sur /verify pour vérifier chaque boîte sans rien envoyer. Les 100 premières vérifications sont gratuites avec une connexion Google, sans carte.

Pro, 39 $ par mois : vérification d'emails illimitée.* Jamais décomptée, jamais coupée. Voir les tarifs.

*Usage raisonnable : les 100 000 premières vérifications du mois à pleine vitesse, puis plus lentement, jamais coupées.

À lire aussi : vérifier le DMARC de tous vos domaines clients, surveiller vos domaines d'envoi.