Construisez un enregistrement DMARC avec la politique, les adresses de rapport et l'alignement de votre choix. Chaque tag est expliqué, et un déploiement progressif montre comment passer de la surveillance à l'application en toute sécurité.
| Tag | Valeur | Signification |
|---|
| Étape | Enregistrement | À faire |
|---|---|---|
| 1. Observer | p=none; rua=mailto:... | Collectez les rapports pendant quelques semaines. Listez chaque système qui envoie sous votre domaine et corrigez SPF ou DKIM pour les expéditeurs légitimes. |
| 2. Commencer à appliquer | p=quarantine; pct=10 | Appliquez la politique à une petite part des e-mails en échec, puis augmentez pct par paliers (25, 50, 100) tant que les rapports restent propres. |
| 3. Quarantaine complète | p=quarantine; pct=100 | Restez à ce stade jusqu'à ce qu'aucune source légitime n'échoue. |
| 4. Reject | p=reject | Les e-mails en échec sont refusés. Continuez à lire les rapports ; les expéditeurs ajoutés plus tard devront être configurés. |
La durée de chaque étape dépend du nombre de systèmes qui envoient pour votre domaine. Les noms d'étapes sont notre suggestion et ne font pas partie du standard DMARC.
Le générateur s'exécute dans votre navigateur et ne stocke rien. Gardez toujours un seul enregistrement DMARC par domaine, publié en TXT à _dmarc.
SPF et DKIM vérifient chacun quelque chose, mais aucun n'indique quoi faire en cas d'échec, et aucun n'est lié à l'adresse que les gens voient réellement dans la ligne From. DMARC corrige les deux. Il indique aux destinataires : n'acceptez un e-mail comme venant de ce domaine que si SPF ou DKIM a réussi avec le même domaine que l'adresse From, et voici quoi faire des e-mails qui échouent. Il demande aussi aux destinataires de vous envoyer des rapports, ce qui vous permet de savoir qui envoie sous votre domaine.
| Tag | Ce qu'il fait | Notes |
|---|---|---|
| v | Version | Toujours DMARC1 et toujours en premier. |
| p | Politique pour les e-mails en échec : none, quarantine ou reject | Obligatoire. |
| sp | Politique pour les sous-domaines | Facultatif. Sans lui, les sous-domaines suivent p. |
| rua | Où envoyer les rapports agrégés | Fortement recommandé. Une ou plusieurs adresses mailto:. |
| ruf | Où envoyer les rapports d'échec | Facultatif. Beaucoup de grands destinataires n'en envoient pas. |
| adkim, aspf | Mode d'alignement : souple (r) ou strict (s) | Souple est la valeur par défaut et convient à la plupart des domaines. |
| pct | Pourcentage d'e-mails en échec auquel la politique s'applique | Utilisez-le pour introduire progressivement quarantine ou reject. |
| fo | Quand produire des rapports d'échec | 0 (par défaut), 1, d ou s. |
| ri | Secondes demandées entre deux rapports agrégés | Par défaut 86400, soit un jour. Les destinataires peuvent l'ignorer. |
L'erreur courante est de publier p=reject dès le premier jour et de découvrir, à cause de factures rebondies, qu'un système oublié envoyait sous votre nom. La voie sûre consiste à observer d'abord et à durcir seulement quand les rapports sont propres.
Le tableau des étapes sous le générateur présente chaque étape sous forme d'enregistrement à copier.
DMARC réussit quand SPF ou DKIM réussit et que le domaine validé correspond au domaine From. Avec un alignement souple, un sous-domaine compte comme correspondance : un e-mail de mail.example.com est aligné avec un From de example.com. Avec un alignement strict, les domaines doivent être identiques. Le mode strict ne vaut la peine que si vous contrôlez tous les expéditeurs et voulez la règle la plus stricte ; il peut casser des e-mails légitimes de services tiers qui utilisent des sous-domaines.
Si votre adresse rua se trouve sur un autre domaine que celui que vous protégez, comme un service de rapports, les destinataires vérifient que cet autre domaine accepte de recevoir vos rapports. Il le fait en publiant un enregistrement TXT à yourdomain._report._dmarc.otherdomain avec la valeur v=DMARC1. Les services de rapports le configurent normalement pour vous ; le générateur vous le rappelle quand c'est nécessaire.
Les rapports rua quotidiens sont des fichiers XML compressés, un par destinataire, listant les IP d'envoi, le nombre de messages et les résultats SPF et DKIM. Ils sont difficiles à lire à la main dès que plus de quelques-uns arrivent chaque jour. La plupart des gens utilisent un service de rapports ou un script pour les transformer en tableau. Quel que soit votre choix, relisez-les régulièrement, surtout après l'ajout d'un nouveau service d'envoi.
Créez un enregistrement TXT nommé _dmarc sur votre domaine (le nom complet est donc _dmarc.example.com) et collez la valeur générée. Il doit y avoir exactement un enregistrement DMARC. Une fois le DNS mis à jour, lancez notre vérificateur SPF, DKIM et DMARC sur le domaine pour confirmer qu'il se lit comme prévu.
Place les tags dans l'ordre standard, ajoute le préfixe mailto: pour vous et bloque la copie tant qu'une adresse est invalide.
Signale reject sans rapports, l'alignement strict, les rapports envoyés vers un autre domaine et les enregistrements assez longs pour devoir être scindés.
Un tableau liste chaque tag de votre enregistrement avec sa signification, pour que vous sachiez ce que vous publiez.
Un plan en quatre étapes vous mène de p=none à p=reject.
v=DMARC1; p=none; rua=mailto:une-adresse-que-vous-lisez. Il ne change rien à la livraison, et il déclenche les rapports qui montrent qui envoie sous votre domaine.
Quarantine demande aux destinataires de traiter les e-mails en échec comme suspects, généralement en les plaçant en spam. Reject leur demande de les refuser. Les deux dépendent du choix du destinataire de suivre votre politique.
Il fixe la part des e-mails en échec à laquelle la politique s'applique. Il sert à introduire progressivement quarantine ou reject : commencez bas et augmentez tant que les rapports restent propres.
En général non. L'alignement souple permet aux sous-domaines de correspondre, ce qui convient à la plupart des configurations. L'alignement strict peut faire échouer des e-mails légitimes de services tiers s'ils utilisent un sous-domaine.
Généralement non. Les rapports d'échec sont facultatifs, beaucoup de grands destinataires ne les envoient pas et ils peuvent contenir des extraits du contenu des messages. Les rapports agrégés (rua) sont les plus utiles.
En enregistrement TXT nommé _dmarc sur votre domaine, par exemple _dmarc.example.com. Il ne doit y en avoir qu'un.
Chaque destinataire envoie ses rapports environ une fois par jour, et seulement pour les e-mails qu'il a traités. Prévoyez un ou deux jours après la publication, vérifiez que l'adresse est correctement orthographiée et, si elle est sur un autre domaine, qu'elle y est autorisée.
Vérifiez ce que voient les destinataires pour votre domaine : SPF, DKIM et DMARC en une seule passe.
Créez un compte, ajoutez votre domaine et envoyez votre premier e-mail.