Qu’est-ce que DMARC ? Explications simples
DMARC est un réglage de votre nom de domaine qui indique aux serveurs destinataires quoi faire des e-mails qui prétendent venir de votre domaine alors qu’ils ne viennent pas réellement de vous. Il vous protège, ainsi que vos correspondants, contre les faux e-mails envoyés en votre nom (usurpation et hameçonnage), et il aide vos vrais e-mails à bien arriver.
En bref
- DMARC est un enregistrement TXT dans le DNS de votre domaine, nommé
_dmarc. - Il s’appuie sur deux autres contrôles : SPF (les serveurs autorisés à envoyer des e-mails pour votre domaine) et DKIM (une signature numérique apposée sur chaque e-mail).
- Dans l’enregistrement DMARC, vous choisissez une politique : ne rien faire, placer dans les spams ou refuser.
- Les grands fournisseurs de messagerie comme Gmail, Outlook et Yahoo attendent désormais un enregistrement DMARC. Sans DMARC, vos e-mails finissent plus souvent dans les spams.
Pourquoi DMARC est-il nécessaire ?
N’importe qui peut envoyer un e-mail avec un expéditeur qui ressemble à votre adresse, par exemple info@votredomaine.fr. Le destinataire ne voit pas immédiatement qu’il s’agit d’un faux. Les escrocs s’en servent pour falsifier des factures ou voler des mots de passe. Avec DMARC, vous montrez quels e-mails viennent réellement de vous et vous demandez au destinataire de refuser les faux e-mails ou de les placer dans les spams.
Comment cela fonctionne-t-il ?
Lorsqu’un e-mail arrive avec votre domaine comme expéditeur, le serveur de messagerie destinataire vérifie trois choses :
- SPF : l’e-mail a-t-il été envoyé depuis un serveur figurant dans l’enregistrement SPF de votre domaine ?
- DKIM : la signature numérique ajoutée à l’e-mail par votre serveur de messagerie est-elle valide ?
- DMARC : le contrôle SPF ou DKIM réussi correspond-il bien au domaine de l’adresse de l’expéditeur ? Si oui, l’e-mail est en règle. Sinon, le destinataire applique la politique de votre enregistrement DMARC.
À quoi ressemble un enregistrement DMARC ?
Un enregistrement DMARC est un enregistrement TXT sur _dmarc.votredomaine.fr, par exemple :
v=DMARC1; p=quarantine; rua=mailto:dmarc@votredomaine.fr
| Élément | Signification |
|---|---|
v=DMARC1 | Indique qu’il s’agit d’un enregistrement DMARC. Toujours placé en premier. |
p=none | Politique « ne rien faire » : le destinataire distribue l’e-mail normalement, mais vous pouvez recevoir des rapports. Idéal pour commencer. |
p=quarantine | Politique « quarantaine » : les e-mails qui échouent au contrôle vont dans le dossier spam. C’est ce que nous recommandons par défaut. |
p=reject | Politique « refuser » : les e-mails qui échouent au contrôle ne sont pas distribués du tout. Le réglage le plus strict et le plus sûr. |
rua=mailto:... | Facultatif : une adresse e-mail à laquelle vous recevez chaque jour des rapports indiquant qui envoie des e-mails au nom de votre domaine. |
Mise en place, étape par étape
- Vérifiez que SPF est correct. Si vous envoyez aussi des e-mails via un autre service, comme un outil de newsletter ou Microsoft 365, ajoutez-le également à votre enregistrement SPF. Consultez Ajouter ou modifier un enregistrement SPF dans DirectAdmin.
- Vérifiez que DKIM est activé. Avec un hébergement WebOké, DKIM est activé par défaut pour les e-mails qui passent par nos serveurs.
- Créez l’enregistrement DMARC. En cas de doute, commencez par
p=noneavec une adresse de rapport, puis passez àp=quarantineoup=rejectaprès quelques semaines. La création de l’enregistrement est expliquée dans Créer un enregistrement DMARC dans DirectAdmin. Vous pouvez aussi le faire dans Mon WebOké, sous Mes domaines, dans la rubrique DNS. - Contrôlez vos réglages. Notre vérification e-mail gratuite vous montre immédiatement si SPF, DKIM et DMARC sont bien configurés. La liste de contrôle Internet.nl vous aide également.
Questions fréquentes
Mes propres e-mails seront-ils refusés si j’active DMARC ?
Pas si SPF et DKIM sont bien configurés. Si vous envoyez des e-mails via un service qui ne figure pas dans votre enregistrement SPF et qui ne signe pas avec votre domaine, ces e-mails risquent d’arriver dans les spams ou d’être refusés avec p=quarantine ou p=reject. En cas de doute, commencez donc par p=none et consultez les rapports pour voir qui envoie des e-mails au nom de votre domaine.
Dois-je indiquer une adresse de rapport ?
Ce n’est pas obligatoire. Les rapports sont techniques et surtout utiles si vous voulez savoir quels services envoient des e-mails au nom de votre domaine. Utilisez de préférence une adresse distincte, car vous pouvez en recevoir plusieurs par jour.
J’utilise Microsoft 365 ou Google Workspace. DMARC fonctionne-t-il aussi dans ce cas ?
Oui. Ajoutez le service à votre enregistrement SPF, activez DKIM dans ce service, puis créez l’enregistrement DMARC chez WebOké. L’ordre est important : d’abord SPF et DKIM, ensuite DMARC.
Avez-vous un enregistrement DMARC tout prêt pour moi ?
Oui. La vérification e-mail et Mon WebOké vous proposent l’enregistrement v=DMARC1; p=quarantine s’il n’existe pas encore d’enregistrement DMARC. Si vous n’y arrivez pas, envoyez-nous un message : nous vous aiderons avec plaisir.