Ce que DMARC détermine
SPF et DKIM prouvent chacun quelque chose concernant un domaine, mais aucun ne vérifie l’adresse de la ligne From, celle que les destinataires lisent. DMARC les relie à cette adresse. Un message réussit la vérification DMARC lorsque SPF ou DKIM réussit pour un domaine qui correspond au domaine From. L’enregistrement indique aussi aux serveurs destinataires quoi faire d’un message qui échoue.
L’enregistrement est publié dans DNS sous forme d’enregistrement TXT à l’adresse composée de _dmarc suivi de votre domaine. Lorsque ce nom ne contient aucun enregistrement, les serveurs destinataires recherchent à la place le domaine organisationnel, c’est-à-dire le domaine enregistré, example.com pour news.example.com. Un sous-domaine peut donc être couvert sans avoir son propre enregistrement.
Comprendre la politique DMARC
p=none demande aux serveurs destinataires de ne rien faire et d’envoyer uniquement des rapports. Tout le monde devrait commencer par cette politique, mais beaucoup trop de domaines la conservent pendant des années. Tant qu’elle est en place, n’importe qui peut envoyer des e-mails avec votre domaine dans la ligne From, et le serveur destinataire a pour instruction de les accepter.
p=quarantine place les e-mails en échec dans les spams, tandis que p=reject les refuse dès leur réception. Depuis février 2024, Gmail et Yahoo exigent que les expéditeurs d’e-mails en masse publient un enregistrement DMARC. Un enregistrement avec p=none respecte cette exigence sur le papier, mais l’outil de vérification le signale tout de même comme un avertissement.
Les rapports qui n’arrivent jamais
Les adresses rua reçoivent un rapport agrégé de chaque serveur destinataire qui voit vos e-mails, une fois par jour par défaut. Si une adresse appartient à un domaine différent de celui concerné par l’enregistrement, RFC 7489 exige que cet autre domaine publie un enregistrement d’autorisation indiquant qu’il accepte les rapports pour le vôtre. Pour chaque adresse externe, l’outil de vérification recherche cet enregistrement. Sans lui, les serveurs destinataires ignorent les rapports.
Questions
Comment ajouter un enregistrement DMARC ?
Publiez un enregistrement TXT à l’adresse composée de _dmarc suivi de votre domaine, avec v=DMARC1 et une politique, par exemple v=DMARC1; p=none; rua=mailto:dmarc@example.com. Commencez avec p=none, consultez les rapports pendant quelques semaines, puis passez à quarantine et ensuite à reject. Vérifiez ici l’enregistrement une fois qu’il est disponible dans DNS.
p=none est-il mauvais ?
Comme première étape, il remplit son rôle : il collecte des rapports sans affecter la distribution, ce qui vous permet d’identifier les services qui envoient des e-mails pour vous sans être encore authentifiés. Cela devient problématique s’il reste en place, car ces rapports doivent vous permettre de passer à la mise en quarantaine, puis au rejet.
Faut-il un enregistrement distinct pour chaque sous-domaine ?
Un sous-domaine sans enregistrement propre utilise l’enregistrement du domaine organisationnel, et la balise sp de cet enregistrement définit la politique des sous-domaines. Un seul enregistrement suffit donc généralement pour tous les couvrir.
Alignement souple ou strict ?
Souple, sauf si vous avez une raison d’utiliser l’alignement strict. Avec l’alignement souple, une signature DKIM de mail.example.com est valide pour les adresses From de example.com. L’alignement strict ne le permet pas et rend incompatibles de nombreuses configurations dans lesquelles un fournisseur signe avec un sous-domaine.
Que signifie «DMARC policy not enabled» ?
Cela signifie que l’enregistrement DMARC du domaine indique p=none, ou que le domaine n’a aucun enregistrement DMARC. Avec p=none, les destinataires distribuent normalement les e-mails qui échouent et envoient uniquement des rapports à l’adresse rua. Rien n’empêche donc encore quelqu’un d’envoyer des e-mails en utilisant votre domaine.
Guide complet : DMARC policy not enabled
Un domaine peut-il avoir plusieurs enregistrements DMARC ?
Non. Lorsque _dmarc contient deux enregistrements TXT commençant par v=DMARC1, les destinataires ignorent les deux et considèrent que le domaine n’en possède aucun. Conservez-en un et ajoutez-y les tags nécessaires provenant de l’autre.
Quarantaine ou rejet ?
Commencez par p=quarantine. Les serveurs destinataires traitent les e-mails qui échouent comme suspects, généralement en les plaçant dans les spams. Ainsi, si vous avez oublié un service légitime, le message finit dans un dossier plutôt que d'être perdu. Passez à p=reject lorsque les rapports indiquent qu'aucun de vos e-mails n'échoue depuis quelques semaines.