Lire les rapports agrégés DMARC et passer en toute sécurité à p=reject

Les rapports agrégés DMARC sont des fichiers XML que les fournisseurs de messagerie vous envoient, généralement une fois par jour, et qui listent chaque source ayant envoyé des e-mails se réclamant de votre domaine, avec le résultat de SPF, DKIM et de l'alignement. Les lire est le moyen de trouver chaque expéditeur légitime, de corriger ceux qui échouent et de découvrir qui usurpe votre identité, afin de passer de p=none à p=reject sans bloquer de vrais e-mails.

L'essentiel en bref

1. Demandez des rapports. Ajoutez une adresse rua à votre enregistrement DMARC tant que la politique est p=none.
2. Attendez et collectez. Rassemblez de deux à quatre semaines de rapports, y compris les envois mensuels éventuels.
3. Triez les sources. Classez chaque IP source comme légitime et alignée, légitime mais en échec, ou inconnue.
4. Corrigez ce qui échoue. Donnez à chaque service légitime une signature DKIM ou un Return-Path aligné.
5. Appliquez par étapes. Quarantine à faible pourcentage, augmentez, puis passez à reject.

L'enregistrement DMARC qui demande des rapports

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com; adkim=r; aspf=r"

Envoyer les rapports vers un autre domaine

Si l'adresse rua se trouve sur un domaine différent de celui qui fait l'objet du rapport, cet autre domaine doit publier un enregistrement qui l'autorise. Sinon, les fournisseurs n'enverront pas de rapports. Pour des rapports concernant example.com envoyés à reports.example.net :

example.com._report._dmarc.reports.example.net.  3600  IN  TXT  "v=DMARC1"

Ce que contient un rapport

Les rapports arrivent en pièce jointe, généralement compressée en gzip ou zip. Ouvrez-en un et vous trouverez trois parties : des informations sur l'émetteur du rapport, la politique que le fournisseur a trouvée, et une liste de lignes, une par combinaison d'IP source et de résultat.

<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <report_id>1234567890</report_id>
    <date_range><begin>1759708800</begin><end>1759795199</end></date_range>
  </report_metadata>
  <policy_published>
    <domain>example.com</domain><adkim>r</adkim><aspf>r</aspf><p>none</p><pct>100</pct>
  </policy_published>
  <record>
    <row>
      <source_ip>203.0.113.10</source_ip>
      <count>1250</count>
      <policy_evaluated><disposition>none</disposition><dkim>pass</dkim><spf>pass</spf></policy_evaluated>
    </row>
    <identifiers><header_from>example.com</header_from></identifiers>
    <auth_results>
      <dkim><domain>example.com</domain><selector>mail1</selector><result>pass</result></dkim>
      <spf><domain>bounce.example.com</domain><result>pass</result></spf>
    </auth_results>
  </record>
</feedback>

Classez chaque source dans l'un des trois groupes

Comment identifier une source

• DNS inverse : dig -x 203.0.113.10 +short nomme souvent le fournisseur.
• Domaines d'authentification : les domaines SPF et DKIM de auth_results révèlent généralement le service.
• Votre propre inventaire : listez chaque outil qui envoie au nom de votre domaine : plateforme marketing, helpdesk, CRM, système de facturation, formulaires du site, outils RH et serveurs.
• Volume et schéma : un nombre faible et régulier provenant d'un service connu est normal ; une rafale soudaine depuis une IP inconnue est suspecte.

Synthétiser les rapports avec un court script

Pour un premier aperçu d'un dossier de rapports décompressés, ce script totalise les messages par IP source et par résultat DMARC :

import glob
import xml.etree.ElementTree as ET
from collections import defaultdict

totals = defaultdict(int)
for path in glob.glob("reports/*.xml"):
    for rec in ET.parse(path).getroot().iter("record"):
        row = rec.find("row")
        ip = row.findtext("source_ip")
        ev = row.find("policy_evaluated")
        key = (ip, ev.findtext("dkim"), ev.findtext("spf"))
        totals[key] += int(row.findtext("count"))

for (ip, dkim, spf), n in sorted(totals.items(), key=lambda x: -x[1]):
    print(f"{ip:18} dkim={dkim:5} spf={spf:5} messages={n}")

Corriger les échecs d'alignement

Passer à l'application de la politique par étapes

Une fois les sources légitimes alignées et seules les sources inconnues en échec, renforcez la politique progressivement. Attendez au moins une semaine à chaque étape et lisez les rapports avant de passer à la suivante.

Continuer la surveillance après p=reject

• Consultez chaque semaine au début, puis chaque mois. Les nouveaux outils qui envoient au nom de votre domaine apparaîtront comme des échecs.
• Ajoutez une étape à l'intégration : tout nouveau système qui envoie des e-mails au nom de votre domaine est authentifié avant sa mise en service.
• Protégez les domaines inutilisés : publiez p=reject et un enregistrement SPF vide sur les domaines depuis lesquels vous n'envoyez pas.
• Anticipez BIMI : une politique DMARC appliquée est un prérequis si vous souhaitez ensuite que votre logo apparaisse dans la boîte de réception.

Lectures complémentaires et sources

• RFC 7489 : Domain-based Message Authentication, Reporting, and Conformance (DMARC)
• dmarc.org : présentation de DMARC
• Google : Configurer DMARC
• RFC 8617 : The Authenticated Received Chain (ARC)
• Guides associés : Authentifier un domaine d'envoi et Exigences pour les expéditeurs en masse.