Générateur d’enregistrement DMARC

Qu’est-ce que DMARC et pourquoi en avez-vous besoin ?

DMARC (Domain-based Message Authentication, Reporting, and Conformance) est le troisième pilier de l’authentification e-mail, au-dessus de SPF et DKIM. Il indique aux serveurs destinataires que faire lorsqu’un message échoue aux contrôles d’authentification, et où envoyer les rapports de ces échecs. Sans DMARC, avoir SPF et DKIM est nécessaire mais insuffisant — un attaquant peut encore usurper votre adresse From visible même si SPF et DKIM passent sur un autre domaine.

Gmail, Yahoo et Microsoft ont tous rendu DMARC obligatoire pour les expéditeurs en masse. Les domaines sans politique DMARC subissent un filtrage antispam accru et une moindre placement en boîte de réception chez les grands fournisseurs.

Les trois niveaux de politique DMARC

DMARC utilise un déploiement progressif avec trois niveaux de politique. La séquence recommandée est de commencer à none, passer à quarantine, puis atteindre reject.

• p=none — Surveillance uniquement. Les messages en échec sont livrés normalement, mais des rapports agrégés sont envoyés à l’adresse rua. Utilisez-le pour découvrir toutes vos sources d’envoi avant d’appliquer la politique.
• p=quarantine — Les messages en échec vont en spam. Utilisez-le une fois vérifié que votre courrier légitime passe l’authentification.
• p=reject — Les messages en échec sont rejetés purement et simplement. C’est la protection la plus forte et l’objectif pour la plupart des domaines.

Comprendre l’alignement DMARC

DMARC réussit lorsque SPF ou DKIM réussit et que le domaine authentifié s’aligne avec le domaine de l’en-tête From. L’alignement relâché (r) autorise les correspondances de sous-domaine — par exemple, mail.example.com s’aligne avec example.com. L’alignement strict (s) exige une correspondance exacte de domaine. Commencez par l’alignement relâché et ne passez au strict que pour une raison précise.

Rapports DMARC : rua vs ruf

La balise rua spécifie l’adresse e-mail pour les rapports agrégés — résumés XML quotidiens des résultats d’authentification de tous les expéditeurs dans le monde. Ils sont essentiels pour comprendre votre empreinte d’envoi et repérer les expéditeurs non autorisés. La balise ruf spécifie l’adresse des rapports forensiques (d’échec), qui contiennent les détails des messages individuels en échec. Les rapports forensiques sont moins largement pris en charge et peuvent contenir du contenu de message, donc ils demandent une gestion plus prudente.

Vous pouvez recevoir des rapports sur n’importe quelle adresse e-mail — même sur un autre domaine. Certaines organisations utilisent des services dédiés de traitement des rapports DMARC pour analyser et visualiser les données XML agrégées.

Finaliser votre configuration d’authentification e-mail

DMARC fonctionne mieux comme couche finale au-dessus de SPF et DKIM. Configurez SPF pour autoriser vos IP d’envoi, activez la signature DKIM sur votre serveur ou fournisseur d’e-mail, puis ajoutez une politique DMARC pour tout relier et recevoir des rapports.

L’authentification vous protège de l’abus de domaine. L’hygiène des listes protège votre réputation d’expéditeur. Utilisez la vérification d’e-mail pour supprimer les adresses invalides avant chaque envoi, ou contrôlez de grandes listes avec la vérification d’e-mail en masse. Consultez les tarifs pour les plans de vérification.