DMARC
DMARC est une couche de politique au-dessus de SPF et DKIM qui indique aux destinataires quoi faire du courrier échouant à l'authentification — surveiller, mettre en quarantaine ou rejeter — et vous envoie des rapports sur tout ce qui expédie au nom de votre domaine.
Comment fonctionne DMARC
DMARC est un enregistrement TXT qui remplit deux missions. D'abord, il fixe une politique — none, quarantine ou reject — indiquant aux destinataires comment traiter les messages qui échouent à l'authentification et à l'alignement. Ensuite, il demande des rapports agrégés, vous donnant un flux de toutes les sources qui envoient du courrier sous votre domaine, légitimes ou non.
Un message passe DMARC dès lors que SPF ou DKIM passe ET est aligné — c'est-à-dire que le domaine authentifié correspond au domaine From visible. C'est cette exigence d'alignement qui stoppe réellement l'usurpation.
Les trois politiques DMARC
- p=none — surveillance seule ; collectez des rapports sans affecter la distribution. Le point de départ.
- p=quarantine — envoyez le courrier en échec vers les spams. À utiliser une fois toutes vos sources légitimes authentifiées.
- p=reject — rejetez purement et simplement le courrier en échec. L'objectif final ; exigé par Gmail/Yahoo pour les gros expéditeurs.
Déployer DMARC en toute sécurité
- 1
Publiez p=none
Démarrez en mode surveillance avec une adresse de rapport pour voir chaque source d'envoi sans risquer votre courrier légitime.
- 2
Authentifiez chaque source
Parcourez les rapports et assurez-vous que chaque service légitime passe SPF ou DKIM avec alignement.
- 3
Passez à p=quarantine
Une fois tout propre, relevez la politique pour que le courrier non authentifié atterrisse en spam, tout en continuant à surveiller les rapports.
- 4
Appliquez p=reject
Enfin, rejetez le courrier en échec. Votre domaine ne peut plus être usurpé vers les boîtes de réception.
Questions fréquentes
Faut-il SPF et DKIM avant DMARC ?
Oui. DMARC évalue les résultats de SPF et DKIM ; les deux doivent donc être en place et alignés avant d'appliquer une politique plus stricte que p=none.
Qu'est-ce que l'alignement DMARC ?
L'alignement signifie que le domaine authentifié par SPF ou DKIM correspond au domaine de l'adresse From visible. Sans alignement, une signature techniquement valide provenant d'un autre domaine ne compterait pas.
p=reject est-il risqué ?
Seulement si vous allez trop vite. Commencez par p=none, corrigez chaque source à l'aide des rapports, puis montez en puissance. Réalisé dans l'ordre, reject est sûr et fortement recommandé.
Commencez à envoyer en quelques minutes
Créez un compte gratuit, connectez votre domaine et touchez votre audience sur tous les canaux — sans carte bancaire.
Offre gratuite à vie · Sans carte bancaire · Prêt en quelques minutes