Comment configurer DMARC — guide pas à pas
DMARC (Domain-based Message Authentication, Reporting & Conformance) indique aux serveurs de messagerie destinataires quoi faire lorsque des e-mails de votre domaine échouent à l'authentification. Il s'appuie sur SPF et DKIM pour vous donner contrôle et visibilité sur vos e-mails.
Prérequis
Avant de configurer DMARC, vous devriez avoir :
- SPF record configuré pour votre domaine
- la signature DKIM mise en place chez votre fournisseur de messagerie
DMARC vérifie qu'au moins l'un des deux, SPF ou DKIM, est aligné avec le domaine du From:.
Étape 1 : créer un enregistrement DMARC de surveillance
Start with p=none — cela surveille sans rejeter aucun e-mail. Ajoutez un enregistrement TXT à _dmarc.yourdomain.com:
v=DMARC1; p=none; rua=mailto:[email protected]
Cela demande aux serveurs destinataires d'envoyer des rapports agrégés à votre adresse e-mail.
Étape 2 : examiner les rapports
Au bout de quelques jours, vous recevrez des rapports XML indiquant quels serveurs envoient des e-mails depuis votre domaine et s'ils passent SPF/DKIM. Examinez-les pour vous assurer que vos e-mails légitimes s'authentifient correctement.
Utilisez un analyseur de rapports DMARC (il existe de nombreuses options gratuites) pour convertir le XML en format lisible.
Étape 3 : passer en quarantaine
Lorsque vos e-mails légitimes passent systématiquement, basculez sur p=quarantine:
v=DMARC1; p=quarantine; pct=10; rua=mailto:[email protected]
The pct=10 signifie n'appliquer la politique qu'à 10 % des e-mails en échec. Augmentez progressivement jusqu'à 100 % à mesure que vous gagnez en confiance.
Étape 4 : appliquer avec reject
La politique la plus stricte — les e-mails en échec sont rejetés d'emblée :
v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]
Paramètres d'un enregistrement DMARC
| Tag | Example | Description |
|---|---|---|
p | p=reject | Politique : none, quarantine ou reject |
sp | sp=quarantine | Politique pour les sous-domaines (reprend p si omis) |
pct | pct=50 | Pourcentage des e-mails auxquels appliquer la politique (1-100) |
rua | rua=mailto:[email protected] | Destination des rapports agrégés |
ruf | ruf=mailto:[email protected] | Destination des rapports forensiques (d'échec) |
adkim | adkim=s | Alignement DKIM : s (strict) ou r (souple) |
aspf | aspf=r | Alignement SPF : s (strict) ou r (souple) |
L'alignement DMARC expliqué
DMARC exige un « alignement » : le domaine de l'en-tête From: de l'e-mail doit correspondre au domaine utilisé lors de l'authentification SPF ou DKIM :
- Relaxed (r) — les sous-domaines sont autorisés (valeur par défaut).
mail.example.comaligns withexample.com - Strict (s) — correspondance exacte requise.
mail.example.comn'est PAS aligné avecexample.com
Erreurs fréquentes
- Passer directement à
p=rejectsans surveiller d'abord — des e-mails légitimes risquent d'échouer - Placer l'enregistrement à la racine du domaine au lieu de
_dmarc.yourdomain.com - Ne pas configurer SPF et DKIM en premier
- Oublier d'inclure
rua— sans rapports, impossible de surveiller ce qui se passe
Vérifiez votre enregistrement DMARC
Utilisez le vérificateur de sécurité e-mail pour confirmer que votre DMARC est bien configuré :
Voyez la théorie en pratique — lancez Vérification de la sécurité e-mail pour votre propre domaine.