En un coup d'œil. Enregistrement : TXT à _dmarc.votredomaine · Pour commencer : p=none et une adresse rua · Réussite si : SPF ou DKIM réussit avec alignement · État final : p=reject quand les rapports sont propres
L'essentiel en bref
- Ce qu'est la politique. Un enregistrement DMARC est publié sous forme d'enregistrement TXT à _dmarc sur votre domaine.
- Les trois politiques. Avec p=none, les destinataires ne prennent aucune mesure à cause de DMARC, et ils vous envoient des rapports.
- Alignement : relaxed et strict. DMARC ne se demande pas seulement si SPF ou DKIM a réussi.
- Politique de sous-domaine et pct. La balise sp définit une politique différente pour les sous-domaines.
- Rapports : rua et ruf. La balise rua indique où envoyer les rapports agrégés.
- Un déploiement sûr. Publiez p=none avec une adresse de rapport que vous lirez.
Ce qu'est la politique
Un enregistrement DMARC est publié sous forme d'enregistrement TXT à _dmarc sur votre domaine. Sa balise p est la politique : elle indique aux destinataires ce que vous souhaitez qu'ils fassent d'un message qui se prétend issu de votre domaine et échoue à la vérification DMARC.
v=DMARC1; p=none; rua=mailto:dmarc@example.comLa vérification elle-même est simple. SPF ou DKIM doit réussir, et le domaine concerné doit s'aligner avec le domaine de l'adresse From. Si ce n'est pas le cas, le message échoue à DMARC et la politique s'applique.
Les trois politiques
Avec p=none, les destinataires ne prennent aucune mesure à cause de DMARC, et ils vous envoient des rapports. Avec p=quarantine, ils doivent traiter le courrier en échec comme suspect, ce qui signifie généralement le dossier spam. Avec p=reject, ils doivent refuser le message lors de sa livraison.
Commencez par none. Cette politique ne peut rien bloquer, elle est donc sûre, et les rapports qu'elle produit montrent tous les systèmes qui envoient au nom de votre domaine. Ne passez au niveau supérieur que lorsque les rapports montrent que votre courrier légitime réussit.
Alignement : relaxed et strict
DMARC ne se demande pas seulement si SPF ou DKIM a réussi. Il se demande si le domaine qui a réussi appartient à la même organisation que le domaine From. Avec l'alignement relaxed, qui est la valeur par défaut, un sous-domaine tel que mail.example.com s'aligne avec example.com. Avec l'alignement strict, les domaines doivent correspondre exactement.
L'alignement se définit séparément pour chaque méthode avec les balises aspf et adkim. Un service tiers qui signe avec son propre domaine réussit DKIM mais ne s'aligne pas : configurez donc votre propre domaine avec chaque service d'envoi.
Politique de sous-domaine et pct
La balise sp définit une politique différente pour les sous-domaines. Sans elle, les sous-domaines suivent p. Elle est utile lorsque le domaine principal est prêt pour l'application stricte mais que quelques sous-domaines ne le sont pas, ou lorsque vous voulez protéger des sous-domaines qui n'envoient jamais de courrier.
La balise pct n'applique la politique qu'à une partie du courrier en échec. Avec p=quarantine et pct=10, environ un dixième des messages en échec sont mis en quarantaine et les autres sont traités comme si la politique était d'un niveau inférieur. Augmentez-la par paliers tant que les rapports restent propres.
Rapports : rua et ruf
La balise rua indique où envoyer les rapports agrégés. Les destinataires les envoient sous forme de XML compressé, généralement chaque jour, avec la liste des IP d'envoi, le nombre de messages et les résultats SPF et DKIM. Ce sont les preuves dont vous avez besoin avant de durcir la politique. La balise ruf demande des rapports d'échec, que beaucoup de grands destinataires n'envoient pas.
Si l'adresse de rapport se trouve sur un autre domaine, ce domaine doit l'autoriser avec un enregistrement DMARC à votredomaine._report._dmarc.autredomaine. Les services de reporting s'en chargent normalement pour vous.
Un déploiement sûr
Publiez p=none avec une adresse de rapport que vous lirez. Au cours des semaines suivantes, listez toutes les sources présentes dans les rapports et corrigez SPF ou DKIM pour chaque source légitime. Passez ensuite à p=quarantine avec un petit pct que vous augmentez, et seulement alors à p=reject.
Attendez-vous à des surprises : un système de facturation, un outil marketing oublié, un service de newsletter. Chacun découvert à l'étape none est un message qui aurait été perdu avec reject. Notre générateur DMARC présente le déploiement sous forme d'enregistrements que vous pouvez copier.
Ce que DMARC ne peut pas faire
DMARC protège le domaine exact de l'adresse From contre l'usurpation. Il n'arrête pas les domaines sosies, ni le spam provenant d'un domaine que l'expéditeur possède réellement. Le transfert et certaines listes de diffusion peuvent aussi casser l'alignement, ce qui explique pourquoi les grands destinataires pondèrent DMARC avec d'autres signaux.
La norme est par ailleurs en cours de révision à l'IETF ; lisez donc la spécification en vigueur lorsque vous planifiez un changement.
Pour aller plus loin et sources
- RFC 7489 : DMARC
- Google : consignes pour les expéditeurs d'e-mails
- Yahoo : bonnes pratiques pour les expéditeurs
Dans MigoSMTP : articles du centre d'aide
- Lire les rapports DMARC et passer à p=reject
- Return-path et domaines de suivi personnalisés
- Authentifier un domaine d'envoi dans MigoSMTP : SPF, DKIM et DMARC
Guides et outils associés
- Générateur d'enregistrement DMARC : construire un enregistrement et visualiser le déploiement.
- Vérificateur SPF, DKIM et DMARC : lire vos enregistrements en direct.
- Comment configurer DMARC : la configuration pas à pas.
- Corriger les échecs SPF, DKIM et DMARC : lire une erreur et la corriger.
Pas sûr que vos enregistrements soient corrects ? Lancez notre vérificateur gratuit, ou envoyez-nous un en-tête et nous vous aiderons à le lire.
Questions fréquentes
Quelles sont les trois politiques DMARC ?
None demande aux destinataires de ne prendre aucune mesure sur le courrier qui échoue à DMARC, quarantine leur demande de le traiter comme suspect, généralement en le classant en spam, et reject leur demande de le refuser lors de la livraison. La politique se définit avec la balise p.
Qu'est-ce que l'alignement DMARC ?
Un message réussit DMARC lorsque SPF ou DKIM réussit et que le domaine concerné correspond au domaine de l'adresse From visible. L'alignement relaxed permet à un sous-domaine de correspondre à son domaine parent. L'alignement strict exige une correspondance exacte.
À quoi sert pct dans un enregistrement DMARC ?
Il définit le pourcentage de courrier en échec auquel la politique s'applique. Il sert à introduire progressivement quarantine ou reject, par exemple en commençant à 10 et en l'augmentant tant que les rapports restent propres.
DMARC garantit-il que le courrier usurpé est bloqué ?
Non. La politique est une demande que les destinataires choisissent d'honorer, et la plupart des grands destinataires le font. Le transfert et les listes de diffusion peuvent aussi casser l'alignement : lisez donc vos rapports avant d'appliquer la politique.