Tab & Tap
Français

Guide

Vérifier DMARC : lire un enregistrement DMARC balise par balise

DMARC indique aux serveurs de messagerie destinataires quoi faire des messages qui prétendent venir de votre domaine mais échouent à SPF et DKIM. Un enregistrement erroné laisse passer les e-mails usurpés, ou envoie vos propres e-mails en spam. Voici comment le vérifier.

Où se trouve l’enregistrement DMARC

DMARC est un enregistrement TXT placé sous _dmarc. devant votre domaine. Pour example.com, interrogez l’enregistrement TXT de _dmarc.example.com :

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100"

Il doit y avoir exactement un enregistrement de ce type. Avec deux enregistrements DMARC, les destinataires les ignorent tous les deux.

Les balises qui comptent

BaliseSignificationExemple
vVersion. Doit venir en premier et valoir DMARC1.v=DMARC1
pPolitique du domaine : none (rapports seulement), quarantine (traiter comme suspect, en général dossier spam) ou reject (refuser le message).p=reject
spPolitique des sous-domaines. Par défaut, celle de p.sp=quarantine
pctPart des messages en échec à laquelle s’applique la politique, de 0 à 100. Par défaut 100.pct=25
ruaAdresse où sont envoyés les rapports agrégés.rua=mailto:dmarc@example.com
rufAdresse où sont envoyés les rapports d’échec. Beaucoup de fournisseurs n’en envoient pas.ruf=mailto:forensic@example.com
adkim, aspfMode d’alignement pour DKIM et SPF : r souple (relaxed, les sous-domaines correspondent, par défaut) ou s strict.adkim=s

p=none, quarantine ou reject ?

  • p=none ne protège rien ; les destinataires envoient seulement des rapports. Utilisez-le quelques semaines pour voir qui envoie des e-mails au nom de votre domaine.
  • p=quarantine envoie les messages en échec dans les spams. Une étape sûre dès que tous vos services passent.
  • p=reject bloque complètement les e-mails usurpés. L’objectif pour la plupart des domaines.

Un enregistrement avec p=none et sans rua ne vous donne ni protection ni rapports : il ne sert donc à rien.

Comment DMARC décide : l’alignement

Un message passe DMARC quand SPF ou DKIM passe et que le domaine vérifié correspond au domaine de l’en-tête From. SPF vérifie l’expéditeur d’enveloppe (Return-Path) ; DKIM vérifie le domaine d= de la signature. Un service de newsletter qui signe avec son propre domaine passe DKIM mais échoue à l’alignement DMARC tant que vous n’avez pas configuré DKIM pour votre domaine chez ce service.

Erreurs fréquentes

  • L’enregistrement est sur le domaine lui-même au lieu de _dmarc.
  • Deux enregistrements DMARC, ou un enregistrement DMARC dans un enregistrement SPF.
  • pct laissé sous 100 après les tests, si bien que la plupart des e-mails usurpés sont toujours distribués.
  • Passer à p=reject avant que chaque service d’envoi (CRM, helpdesk, newsletters) passe SPF ou DKIM avec alignement.
  • Des rapports envoyés à une adresse d’un autre domaine sans l’enregistrement d’autorisation de ce domaine.

Vérifiez aussi SPF et DKIM

DMARC dépend des deux autres. Un enregistrement SPF doit rester sous 10 requêtes DNS, includes imbriqués compris, sinon il échoue avec une erreur permanente. Les clés DKIM se trouvent sous un nom de sélecteur (par exemple google._domainkey) que le DNS ne permet pas de lister : il faut donc connaître le sélecteur utilisé par votre fournisseur.

Sources