Enregistrement DMARC expliqué : exemples, balises et passage de p=none à p=reject

Enregistrement DMARC : exemple et réponse courte

Un enregistrement DMARC qui convient à presque tous les domaines dès le premier jour est v=DMARC1; p=none; rua=mailto:[email protected], publié en enregistrement TXT sur l'hôte _dmarc.exemple.fr. Cet enregistrement demande aux serveurs de messagerie destinataires de tout délivrer comme d'habitude, mais de vous envoyer chaque jour un rapport sur qui envoie des emails avec votre domaine dans l'adresse d'expéditeur (From). Quand ces rapports montrent que tout votre courrier légitime passe, vous durcissez la politique DMARC étape par étape : d'abord quarantine, puis reject.

Ce guide vous donne des enregistrements DMARC prêts à copier pour chaque étape, un tableau de toutes les balises définies par la spécification DMARC (RFC 7489), un plan sûr pour passer de p=none à p=reject, une lecture commentée des rapports agrégés et les erreurs d'enregistrement qui cassent le plus souvent DMARC. Pour les bases, consultez notre présentation de DMARC et la FAQ qu'est-ce qu'un enregistrement DMARC ; cet article porte sur les exemples d'enregistrements et le déploiement.

À retenir

• Un enregistrement DMARC est un unique enregistrement TXT sur _dmarc.votredomaine. Il doit commencer par v=DMARC1 et contenir une politique p=.
• La politique DMARC a trois valeurs : none (surveillance seule), quarantine (traiter le courrier en échec comme suspect) et reject (refuser le courrier en échec).
• Un message passe DMARC quand SPF ou DKIM passe et que le domaine validé est aligné sur le domaine de l'adresse From visible.
• Commencez toujours par p=none avec une adresse rua, lisez les rapports, corrigez chaque expéditeur légitime, puis passez à quarantine et à reject.
• Un seul enregistrement DMARC par domaine. Deux enregistrements sur le même hôte, et aucun n'est appliqué.

Un enregistrement DMARC, c'est quoi et à quoi ressemble-t-il ?

Un enregistrement DMARC est une instruction publiée dans votre DNS qui dit aux destinataires quoi faire des emails qui utilisent votre domaine sans s'authentifier correctement, et où envoyer des rapports. Il se présente comme une courte ligne de paires balise=valeur séparées par des points-virgules, stockée en enregistrement TXT sur le sous-domaine _dmarc du domaine d'envoi. Si votre adresse d'expéditeur est [email protected], l'enregistrement se trouve sur _dmarc.exemple.fr. Le format est toujours le même : la balise de version d'abord, puis la politique, puis les balises facultatives dans n'importe quel ordre.

Enregistrement DMARC dans le DNS : que saisir dans chaque champ

DMARC ne remplace ni SPF ni DKIM : il s'appuie sur eux. Si vous ne les avez pas encore configurés, commencez par notre explication de ce qu'est le SPF d'un email, puis revenez à DMARC une fois les deux en place.

Exemples d'enregistrement DMARC pour chaque situation

Les exemples d'enregistrement DMARC ci-dessous utilisent exemple.fr et des adresses de rapport inventées. Remplacez-les par votre domaine et par une boîte que vous lisez vraiment (ou l'adresse d'un outil d'analyse de rapports).

1. Surveillance seule (p=none) : l'enregistrement de départ

v=DMARC1; p=none; rua=mailto:[email protected]

Rien ne change pour la délivrance. Les destinataires appliquent leur filtrage habituel et vous envoient des rapports agrégés. Utilisez cet enregistrement pendant les premières semaines, le temps d'identifier tous les services qui envoient des emails au nom de votre domaine.

2. Mettre en quarantaine une partie du courrier en échec (p=quarantine avec pct)

v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]

Un quart des messages en échec DMARC est traité comme suspect (en pratique, le plus souvent placé dans le dossier spam). Selon la RFC 7489, les 75 % restants sont traités comme si la politique était none. C'est une première étape prudente vers l'application.

3. Quarantaine complète

v=DMARC1; p=quarantine; rua=mailto:[email protected]

Sans balise pct, la politique s'applique à 100 % du courrier en échec, car 100 est la valeur par défaut.

4. Application totale (p=reject)

v=DMARC1; p=reject; rua=mailto:[email protected]

Les destinataires sont invités à refuser tout message en échec DMARC. C'est l'enregistrement qui empêche des tiers d'envoyer des emails prétendant venir de votre domaine exact. Gardez la balise rua : vous voulez toujours voir ce qui est bloqué.

5. Politique différente pour les sous-domaines (sp)

v=DMARC1; p=reject; sp=quarantine; rua=mailto:[email protected]

Le domaine principal est en reject, tandis que le courrier des sous-domaines comme boutique.exemple.fr qui n'ont pas leur propre enregistrement DMARC part en quarantaine. Sans balise sp, les sous-domaines héritent de la valeur de p.

6. Alignement strict (adkim=s, aspf=s)

v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:[email protected]

L'alignement strict exige une correspondance exacte du domaine : une signature DKIM de mail.exemple.fr ne compte plus pour une adresse From en exemple.fr. Ne l'utilisez que si vous êtes sûr que tous vos expéditeurs signent et gèrent les retours avec le domaine From exact.

7. Domaine qui n'envoie jamais d'emails

v=DMARC1; p=reject; sp=reject

Pour un domaine parqué ou défensif, rejetez tout. Associez-le à un enregistrement SPF qui n'autorise personne (v=spf1 -all). Une adresse rua est facultative ici, mais elle vous montre qui tente d'abuser du domaine.

8. Plusieurs adresses de rapport et rapports d'échec (ruf, fo)

v=DMARC1; p=none; rua=mailto:[email protected],mailto:[email protected]; ruf=mailto:[email protected]; fo=1

Les rapports agrégés partent vers deux boîtes (séparées par une virgule). Les rapports d'échec vont vers une troisième, et fo=1 demande un rapport d'échec dès que SPF ou DKIM échoue, et pas seulement quand les deux échouent.

Les balises DMARC expliquées : v, p, sp, rua, ruf, pct, adkim, aspf

La RFC 7489 définit un petit ensemble de balises DMARC. Seules v et p sont obligatoires ; toutes les autres ont une valeur par défaut qui s'applique quand la balise est absente.

Que fait chaque politique DMARC : none, quarantine ou reject ?

La politique DMARC indique aux destinataires comment traiter le courrier de votre domaine qui échoue à DMARC. Elle ne concerne que le courrier en échec : les messages qui passent sont délivrés selon le filtrage normal du destinataire.

Une politique quarantine ou reject est ce qui bloque réellement ceux qui mettent votre domaine dans l'adresse From de leurs propres emails. Notre article sur comment prévenir le spoofing d'email présente ces attaques et les autres défenses qui accompagnent DMARC.

DMARC ne fonctionne que si SPF et DKIM sont configurés pour chaque service qui envoie au nom de votre domaine. Découvrez l'authentification des emails avec Mailpro™ et posez d'abord ces fondations.

Comment fonctionne l'alignement DMARC ?

DMARC passe quand au moins l'un des deux contrôles réussit et est aligné sur le domaine From : SPF passe et le domaine de retour (Return-Path) correspond au domaine From, ou DKIM passe et le domaine de signature (la valeur d= de la signature) correspond au domaine From. Réussir SPF ou DKIM sur le domaine de quelqu'un d'autre ne suffit pas.

Voici comment l'alignement se joue pour un message dont l'adresse From visible est [email protected] :

• DKIM signé avec d=exemple.fr : aligné en mode souple comme en mode strict.
• DKIM signé avec d=mail.exemple.fr : aligné en mode souple (même domaine organisationnel), non aligné en mode strict.
• DKIM signé avec d=plateforme-envoi.net : DKIM peut passer, mais il n'est pas aligné, donc il ne compte pas pour DMARC.
• Return-Path sur retours.exemple.fr et SPF qui passe : aligné en mode souple, pas en mode strict.

C'est la raison la plus fréquente pour laquelle un domaine échoue à DMARC alors que les en-têtes affichent « SPF et DKIM pass » : ils passent pour le domaine du service d'envoi, pas pour le vôtre. La solution consiste à configurer, dans chaque service, la signature DKIM avec votre propre domaine ; c'est aussi pour cela que les notifications d'une boutique finissent en spam, et notre guide sur les confirmations de commande dans les spams montre ce réglage pour un site e-commerce.

Comment ajouter un enregistrement DMARC dans votre DNS

Pour ajouter un enregistrement DMARC, créez un enregistrement TXT sur l'hôte _dmarc de votre domaine, dans l'interface DNS de celui qui héberge votre zone (registraire, hébergeur ou fournisseur DNS).

1. Vérifiez qu'aucun enregistrement DMARC n'existe déjà. Interrogez les enregistrements TXT de _dmarc.votredomaine. S'il en existe un, modifiez-le au lieu d'en ajouter un second.
2. Créez une boîte ou un alias pour les rapports, par exemple rapports-dmarc@votredomaine. Les rapports arrivent en pièces jointes XML compressées : une adresse dédiée évite d'encombrer une boîte de travail.
3. Ajoutez l'enregistrement TXT : hôte _dmarc, valeur v=DMARC1; p=none; rua=mailto:rapports-dmarc@votredomaine.
4. Enregistrez et attendez la propagation DNS, en général de quelques minutes à quelques heures selon le TTL.
5. Interrogez de nouveau l'enregistrement pour confirmer qu'il renvoie une seule valeur commençant par v=DMARC1.

Si vous envoyez avec Mailpro, notre FAQ pas à pas pour configurer DMARC avec Mailpro couvre la partie compte.

Comment passer de p=none à p=reject, étape par étape

Passer de p=none à p=reject en toute sécurité, c'est prouver, rapports à l'appui, que chaque source légitime de votre courrier passe DMARC avant de demander aux destinataires de bloquer ce qui échoue. Les durées ci-dessous sont un exemple de déploiement prudent pour un domaine qui utilise plusieurs services d'envoi ; un petit domaine avec un seul expéditeur peut aller plus vite, une grande organisation plus lentement.

1. Semaines 1 à 4 : publiez p=none avec rua. Laissez les rapports s'accumuler sur au moins un cycle d'activité complet, pour voir apparaître les factures mensuelles, les newsletters et les emails système rares.
2. Listez tous les expéditeurs. Regroupez les lignes des rapports par source et associez chacune à un service : votre messagerie, votre plateforme de newsletters, votre boutique, votre CRM, votre outil de support, votre logiciel de facturation, les imprimantes et scanners qui envoient des emails.
3. Corrigez chaque expéditeur légitime. Ajoutez-le au SPF s'il utilise votre Return-Path, et configurez la signature DKIM avec votre propre domaine. Attendez de nouveaux rapports pour confirmer qu'il passe désormais avec alignement.
4. Passez à p=quarantine; pct=25. Surveillez les rapports et la boîte du support pendant une à deux semaines. Montez ensuite pct à 50, puis à 100 (ou supprimez pct, puisque 100 est la valeur par défaut).
5. Passez à p=reject; pct=25, puis montez de la même façon. Avec un pct inférieur à 100 sur une politique reject, la RFC 7489 prévoit que le reste du courrier en échec est mis en quarantaine.
6. Restez en p=reject et continuez à lire les rapports. Tout nouvel outil qui envoie au nom de votre domaine doit avoir SPF et DKIM avant sa mise en service, sinon son courrier sera refusé.

Certains fournisseurs de messagerie attendent déjà un enregistrement DMARC de la part des expéditeurs de gros volumes. Notre article sur les nouvelles exigences de Yahoo et Gmail explique la place de DMARC dans ces règles.

Comment lire les rapports agrégés DMARC

Les rapports agrégés DMARC sont des fichiers XML, généralement compressés en zip ou gzip, qu'un destinataire envoie à votre adresse rua pour résumer tout le courrier qu'il a vu passer avec votre domaine sur une période, le plus souvent un jour. Chaque rapport liste les adresses IP d'envoi avec le nombre de messages et leurs résultats SPF, DKIM et DMARC. Vous pouvez les ouvrir dans un éditeur de texte, mais un outil qui les analyse et les met en graphiques est bien plus rapide dès que le volume augmente.

En lisant un rapport, classez chaque ligne dans l'un de ces quatre cas :

• Service connu, DMARC pass : rien à faire.
• Service connu, DKIM pass mais non aligné : le service signe avec son propre domaine. Configurez DKIM avec votre domaine dans ce service.
• Service connu, SPF en échec : le service manque dans votre enregistrement SPF, ou il utilise son propre Return-Path (comptez alors sur un DKIM aligné).
• IP inconnue, tout échoue : soit un système interne oublié (retrouvez-le), soit quelqu'un qui envoie des emails au nom de votre domaine, exactement ce que quarantine et reject vont arrêter.

Le courrier transféré ou passé par une liste de diffusion peut aussi apparaître en échec, car le transfert casse généralement SPF et les logiciels de listes peuvent modifier le message et casser DKIM. Une petite part stable d'échecs venant de serveurs de transfert est normale et ne justifie pas de rester en p=none.

Erreurs fréquentes dans l'enregistrement DMARC et comment les corriger

La plupart des problèmes DMARC viennent d'une poignée d'erreurs d'enregistrement et de déploiement :

• Deux enregistrements DMARC sur le même hôte. Selon la RFC 7489, les destinataires ignorent alors DMARC pour le domaine. Fusionnez-les en un seul.
• v=DMARC1 absent en tête ou mal écrit (DMARC 1, dmarc1 avec une espace, un guillemet au début). L'enregistrement n'est pas reconnu.
• Enregistrement sur le mauvais hôte. Certaines interfaces DNS ajoutent le domaine automatiquement : saisir _dmarc.exemple.fr crée alors _dmarc.exemple.fr.exemple.fr. Dans ces interfaces, saisissez seulement _dmarc.
• rua sans mailto:, ou adresses séparées par des points-virgules au lieu de virgules. Les rapports n'arrivent jamais.
• Adresse de rapport sur un autre domaine sans autorisation. Si exemple.fr envoie ses rapports vers une adresse de rapports.exemple.net, le domaine destinataire doit publier un enregistrement TXT sur exemple.fr._report._dmarc.rapports.exemple.net avec la valeur v=DMARC1, faute de quoi les rapports ne seront pas envoyés.
• Passer directement à p=reject. Tout expéditeur oublié, comme l'outil de facturation ou le formulaire de contact du site, voit son courrier refusé.
• Alignement strict par défaut. adkim=s et aspf=s cassent les services qui signent ou gèrent les retours depuis un sous-domaine. L'alignement souple est la valeur par défaut pour une bonne raison.
• Rester en p=none indéfiniment. La surveillance seule n'empêche personne d'utiliser votre domaine. Planifiez le passage à l'application dès le départ.
• Oublier les sous-domaines. Sans sp, les sous-domaines héritent de p, ce qui est généralement souhaitable, mais vérifiez que chaque sous-domaine qui envoie des emails apparaît dans vos rapports avant d'atteindre reject.

Une fois votre domaine en quarantine ou en reject, vous remplissez l'un des prérequis pour afficher votre logo à côté de vos emails ; notre guide sur BIMI détaille le reste. Pour une définition courte à partager avec vos collègues, voyez la définition de DMARC dans le glossaire.

Questions fréquentes sur l'enregistrement DMARC

Quel exemple d'enregistrement DMARC utiliser pour commencer ?

Commencez par v=DMARC1; p=none; rua=mailto:rapports-dmarc@votredomaine, publié en enregistrement TXT sur _dmarc.votredomaine. Il ne change rien à la délivrance et déclenche les rapports dont vous avez besoin avant d'appliquer une politique.

Que signifie « politique DMARC non activée » ?

« Politique DMARC non activée » signifie que votre domaine n'a pas d'enregistrement DMARC, ou qu'il en a un en p=none : les destinataires ne sont donc pas invités à agir sur le courrier en échec. Publier un enregistrement puis passer à quarantine ou reject règle le problème ; notre FAQ sur l'alerte la politique DMARC n'est pas activée explique ce message en détail.

p=none suffit-il ?

p=none suffit pour recevoir des rapports et avoir un enregistrement DMARC publié, mais il ne protège pas votre domaine. Seules les politiques quarantine ou reject demandent aux destinataires d'arrêter le courrier en échec DMARC.

Les sous-domaines ont-ils besoin de leur propre enregistrement DMARC ?

Non. Si un sous-domaine n'a pas d'enregistrement DMARC, les destinataires utilisent celui du domaine organisationnel et appliquent sa valeur sp, ou p en l'absence de sp. Publiez un enregistrement _dmarc distinct sur un sous-domaine uniquement s'il doit avoir une politique différente.

Combien de temps faut-il pour recevoir les rapports DMARC ?

Les rapports agrégés sont généralement envoyés une fois par jour, car l'intervalle par défaut prévu par la norme DMARC est de 86 400 secondes. Comptez un à deux jours après la publication pour recevoir les premiers, de la part des destinataires qui ont vu passer du courrier de votre domaine.