DMARC expliqué
Qu'est-ce que DMARC exactement ?
DMARC est le troisième pilier, celui qui chapeaute l'authentification e-mail, au-dessus de SPF et DKIM. Le nom signifie Domain-based Message Authentication, Reporting and Conformance. SPF et DKIM contrôlent chacun un aspect (quel serveur peut envoyer, et si le message est inchangé), mais ils ne disent rien sur ce qu'il faut faire lorsqu'un tel contrôle échoue. C'est ce vide que DMARC comble.
DMARC fait deux choses à la fois. Il fixe une politique : que doit faire le destinataire d'un message qui ne réussit ni SPF ni DKIM ? Et il gère les rapports : vous recevez régulièrement des aperçus de qui envoie du courrier au nom de votre domaine, y compris les parties qui le font à tort.
Une notion importante intervient ici : l'alignement. DMARC n'exige pas seulement que SPF ou DKIM réussisse, mais aussi que le domaine de ce contrôle corresponde au domaine que le lecteur voit dans l'expéditeur. Vous évitez ainsi que quelqu'un, muni d'une signature valide d'un autre nom, semble malgré tout envoyer du courrier en votre nom.
Que fait DMARC pour vous ?
DMARC apporte trois choses réellement utiles.
- Le contrôle sur les abus. C'est vous qui décidez de ce qu'il advient du courrier falsifié qui se fait passer pour votre domaine. Vous rendez ainsi bien plus difficiles le spoofing et le phishing en votre nom.
- De la visibilité grâce aux rapports. Les rapports montrent quels serveurs envoient du courrier au nom de votre domaine. Pratique pour reconnaître les sources légitimes et repérer les abus.
- Une meilleure délivrabilité et davantage de confiance. Une politique DMARC correcte donne aux grands fournisseurs d'e-mail une assurance supplémentaire que votre courrier est authentique.
Depuis 2024, les grands fournisseurs d'e-mail demandent aux expéditeurs de masse de publier au minimum une politique DMARC. Si votre courrier atterrit tout de même en spam, lisez aussi pourquoi votre courrier finit en spam.
Comment bien configurer DMARC ?
Un enregistrement DMARC est un enregistrement DNS de type TXT sur _dmarc.votredomaine.eu. Y figurent votre politique et l'adresse où les rapports peuvent être envoyés.
Un exemple simplifié :
v=DMARC1; p=none; rua=mailto:rapports@votredomaine.eu
v=DMARC1indique qu'il s'agit d'un enregistrement DMARC.p=est votre politique :none(observer seulement),quarantine(vers le spam) oureject(refuser).rua=est l'adresse où sont envoyés les rapports de synthèse.
Il est recommandé de monter en puissance progressivement :
- Commencez par
p=none. Vous ne changez encore rien à la distribution, mais vous collectez des rapports. - Examinez dans ces rapports quelles sources envoient du courrier en votre nom et assurez-vous que toutes les sources légitimes réussissent via SPF et DKIM.
- Passez ensuite à
p=quarantineet enfin àp=rejectdès que vous êtes certain que plus rien de légitime n'est écarté.
À quoi être attentif :
- Ne mettez jamais DMARC directement sur
reject. Sans observer d'abord, vous risquez que votre propre courrier soit refusé. - Veillez à ce que SPF et DKIM soient d'abord corrects. DMARC s'appuie dessus ; s'ils ne sont pas bien configurés, DMARC produit l'effet inverse.
- Lisez vos rapports. Les rapports représentent la moitié de l'intérêt de DMARC ; ne les négligez pas.
Si vous voulez le faire vous-même, suivez le guide distinct sur la configuration de DMARC. Vous trouverez une définition concise dans la fiche de notions sur DMARC.
DMARC s'appuie sur SPF et DKIM
DMARC ne fonctionne que si les deux couches en dessous sont en ordre : SPF détermine quels serveurs peuvent envoyer, DKIM signe vos messages, et DMARC relie le tout avec une politique et des rapports. Pour configurer les trois ensemble, utilisez le guide sur configurer SPF, DKIM et DMARC ensemble.
Comment Mailflux gère cela pour vous
Chez Mailflux, vous n'avez ni à rédiger de politique ni à déchiffrer de rapports. Nous gérons SPF, DKIM et DMARC pour votre domaine et surveillons la réputation IP de nos serveurs expéditeurs, afin que votre courrier arrive de façon fiable et que votre nom reste protégé. Chaque formule filtre en outre par apprentissage automatique contre le spam, le phishing et les logiciels malveillants, avec antivirus, antispam, antimalware et sauvegardes automatiques par défaut.
Vous obtenez de l'e-mail professionnel sur votre propre domaine, hébergé en Europe et conforme au RGPD, avec la vérification en deux étapes en option. La politique en coulisses, c'est nous qui la réglons.
FAQ
Questions fréquentes
Quelle est la différence entre DMARC, SPF et DKIM ?
SPF détermine quels serveurs peuvent envoyer en votre nom, DKIM signe votre message afin qu'une manipulation se remarque, et DMARC relie ces deux éléments : il couple le contrôle à l'expéditeur visible et détermine ce qu'il advient en cas de contrôle échoué. DMARC ajoute aussi des rapports sur qui envoie du courrier en votre nom.
Que signifient `p=none`, `quarantine` et `reject` ?
C'est votre politique DMARC. none ne change rien à la distribution et vous permet seulement d'observer via les rapports. quarantine envoie le courrier non conforme vers le spam. reject le refuse complètement. Vous montez en puissance de none vers reject dès que vous êtes certain qu'aucun courrier légitime n'est écarté.
Que fais-je des rapports DMARC ?
Les rapports montrent quels serveurs envoient du courrier au nom de votre domaine, y compris un usage abusif. Vous les utilisez pour vérifier que toutes vos sources légitimes passent bien par SPF et DKIM, et pour repérer les abus. Ce n'est qu'une fois que c'est correct que vous durcissez votre politique pas à pas.