Comment le score est calculé

Un score qu’on ne peut pas vérifier ne vaut rien. Voici la formule exacte, les poids et les cas où nous refusons de noter.

Trois catégories

La note globale est la moyenne des trois catégories, pondérée ainsi :

Catégorie	Poids
E-mail	50 %
Domaine	25 %
Web	25 %

L’e-mail pèse la moitié de la note parce que c’est là que se produisent les pannes les plus coûteuses et les plus discrètes : un domaine dont le site est parfait mais dont les e-mails n’arrivent plus perd de l’argent tous les jours sans le savoir.

Poids de chaque contrôle

À l’intérieur d’une catégorie, chaque contrôle produit une note de 0 à 1, pondérée comme suit. Les poids reflètent le risque réel, pas la difficulté technique.

E-mail	Poids
SPF	30
DMARC	30
DKIM	15
Serveurs de réception (MX)	10
MTA-STS	7
TLS-RPT	5
BIMI	3

Domaine	Poids
Expiration du domaine	45
Serveurs de noms	30
DNSSEC	25

Web	Poids
Disponibilité du site	30
Certificat TLS	25
Redirection HTTPS	20
En-têtes de sécurité	15
Indexation	10

Ce que nous refusons de noter

Un contrôle que nous n’avons pas pu évaluer est exclu du calcul, et non compté comme un échec. Pénaliser un domaine parce qu’un service tiers était en panne rendrait la note insignifiante. C’est le cas notamment :

• de DKIM lorsque aucun sélecteur n’est trouvé. Les sélecteurs ne sont pas énumérables : nous testons une liste des plus répandus, et ne rien trouver ne prouve rien. DKIM ne peut donc qu’améliorer la note, jamais la dégrader.
• du certificat TLS lorsque les journaux de transparence sont indisponibles.
• de l’expiration du domaine lorsque le registre ne la publie pas. Plusieurs registres européens masquent cette information.
• de tout contrôle dont la résolution DNS a échoué.

Le plafond en cas d’anomalie critique

Une catégorie contenant au moins une anomalie critique ne peut pas dépasser 69/100, quelle que soit la moyenne arithmétique. Un domaine dont tout est parfait sauf un SPF cassé n’est pas un domaine « presque parfait » : ses e-mails ne partent pas.

Lettres

Note	Score
A	90 – 100
B	80 – 89
C	70 – 79
D	60 – 69
E	45 – 59
F	0 – 44

Limites assumées

• Nous lisons le certificat TLS dans les journaux publics de transparence, pas sur votre serveur. Un certificat émis mais jamais déployé apparaît donc comme valide. Cette approximation détecte le cas qui compte — plus personne ne renouvelle — mais pas tous.
• Nous ne consultons que la page d’accueil du site. Une balise noindex sur une page intérieure ne sera pas vue.
• L’analyse est faite depuis le réseau de Cloudflare. Un site qui répond différemment selon la provenance donnera un résultat différent du vôtre.

La formule est susceptible d’évoluer. Toute modification de pondération sera notée ici avec sa date.