À quoi sert DMARC ?
SPF et DKIM vérifient chacun un domaine technique, mais aucun des deux ne vérifie le domaine que voit le destinataire dans le champ « De ». Un fraudeur peut donc réussir SPF avec son propre domaine d'enveloppe tout en affichant le vôtre. DMARC comble ce trou : il exige que le domaine authentifié soit aligné sur le domaine affiché. Il sert à trois choses : protéger votre domaine contre l'usurpation (hameçonnage en votre nom), donner aux messageries une consigne claire, et vous faire remonter la liste de tous les serveurs qui envoient avec votre domaine. C'est aussi une exigence de Gmail et Yahoo depuis février 2024 pour les expéditeurs de gros volume.
Comment fonctionne la vérification DMARC
À réception, la messagerie lit le domaine du champ « De », cherche l'enregistrement DMARC de ce domaine, puis vérifie deux choses. Soit SPF réussit et le domaine d'enveloppe (Return-Path) est aligné sur le domaine du « De ». Soit DKIM réussit et le domaine de la signature (la valeur d= de l'en-tête DKIM-Signature) est aligné sur le domaine du « De ». Il suffit que l'une des deux conditions soit remplie pour que DMARC réussisse. Sinon, la messagerie applique la politique publiée — sans obligation : elle reste libre de sa décision finale.
L'enregistrement DMARC : où et comment le publier
L'enregistrement se publie en TXT sur le sous-domaine _dmarc de votre domaine : pour exemple.fr, le nom est _dmarc.exemple.fr. Il commence obligatoirement par v=DMARC1, suivi de la balise p=, puis des balises facultatives, séparées par des points-virgules. Il ne doit y avoir qu'un seul enregistrement DMARC par domaine. Un sous-domaine sans enregistrement propre suit la politique du domaine principal, ou celle de la balise sp= si elle est définie. On l'ajoute dans l'interface de l'hébergeur DNS (registrar ou fournisseur DNS), pas dans l'outil d'emailing.
Les balises DMARC
- v=DMARC1 : version, obligatoire et en première position.
- p= : politique pour le domaine, obligatoire. none (aucune action, observation seule), quarantine (traiter comme suspect, en pratique le dossier spam), reject (refuser le message).
- sp= : politique pour les sous-domaines ; à défaut, celle de p= s'applique.
- rua= : adresse qui reçoit les rapports agrégés, sous la forme mailto:adresse. Plusieurs adresses sont séparées par des virgules.
- ruf= : adresse qui reçoit les rapports d'échec détaillés, message par message. Peu de messageries les envoient, pour des raisons de confidentialité.
- pct= : pourcentage des messages en échec auxquels la politique s'applique (100 par défaut). Il permet une montée progressive, mais son application varie selon les messageries.
- adkim= et aspf= : mode d'alignement pour DKIM et SPF, r (relâché, par défaut) ou s (strict).
- fo= : conditions de génération des rapports d'échec (0 par défaut : si SPF et DKIM échouent tous les deux).
Alignement relâché ou strict
En alignement relâché (r), le domaine authentifié doit partager le même domaine organisationnel que le champ « De » : une signature DKIM de news.exemple.fr est alignée avec une adresse en exemple.fr. En alignement strict (s), les deux doivent être identiques au caractère près. Le mode relâché, valeur par défaut, convient à la plupart des entreprises, notamment quand les envois marketing partent d'un sous-domaine. Le mode strict n'a d'intérêt que pour verrouiller un domaine très exposé à l'usurpation.
Exemples d'enregistrements DMARC
- Observation seule, avec rapports : v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr
- Quarantaine progressive : v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@exemple.fr
- Rejet, sous-domaines compris : v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@exemple.fr
- Domaine qui n'envoie jamais d'e-mail : v=DMARC1; p=reject; avec un enregistrement SPF v=spf1 -all sur le même domaine.
- Rapports envoyés chez un prestataire : si l'adresse rua= est sur un autre domaine, ce domaine doit publier une autorisation (enregistrement exemple.fr._report._dmarc.prestataire.com), sinon les messageries n'envoient pas les rapports.
Mettre en place DMARC sans bloquer ses propres e-mails
- 1. Inventorier tous les outils qui envoient avec votre domaine : messagerie (Google Workspace, Microsoft 365), outil d'emailing, CRM, facturation, support client, site e-commerce, formulaires du site.
- 2. Configurer SPF et DKIM pour chacun, avec le domaine aligné sur celui du champ « De ».
- 3. Publier p=none avec une adresse rua= et lire les rapports pendant plusieurs semaines.
- 4. Corriger chaque source légitime qui échoue, jusqu'à ce que les échecs restants soient des envois frauduleux ou inconnus.
- 5. Passer à p=quarantine, éventuellement par paliers de pct=, en continuant à lire les rapports.
- 6. Passer à p=reject une fois les rapports propres. C'est seulement à ce stade que le domaine est réellement protégé contre l'usurpation.
Lire les rapports agrégés DMARC
Les rapports agrégés (rua) sont des fichiers XML, généralement compressés, envoyés à peu près une fois par jour par les messageries qui les produisent, dont Google, Yahoo et Microsoft. Chacun liste, par adresse IP d'envoi, le nombre de messages reçus avec votre domaine, le résultat SPF et DKIM, l'alignement et la politique appliquée. On ne les lit pas à la main au-delà de quelques envois : un service d'analyse DMARC, gratuit ou payant, les agrège en tableau. La lecture consiste à repérer les IP inconnues, à identifier l'outil derrière chacune, puis à décider s'il faut l'authentifier (envoi légitime oublié) ou le laisser échouer (usurpation).
Les erreurs DMARC fréquentes
- Passer directement à p=reject sans phase d'observation : les factures ou les e-mails d'un outil oublié sont rejetés.
- Rester indéfiniment en p=none : conforme aux exigences de Gmail et Yahoo, mais sans aucune protection contre l'usurpation.
- Publier deux enregistrements DMARC : la norme prévoit alors de n'en appliquer aucun.
- Oublier la balise rua= : DMARC s'applique, mais vous ne voyez rien de ce qui échoue.
- Croire qu'un SPF réussi suffit : sans alignement du domaine d'enveloppe, il ne compte pas pour DMARC.
Ce que fait Vandolo
Vandolo ne publie pas d'enregistrement DMARC et ne lit pas vos rapports DMARC : c'est le rôle de votre hébergeur DNS et d'un service d'analyse dédié. Le volet newsletter du module Croissance & acquisition (95 € HT par mois) lit les résultats de vos campagnes depuis votre outil d'emailing connecté — délivrés, clics, désinscriptions, rebonds si l'outil les fournit — ce qui permet de voir si une campagne décroche après un changement de configuration.