Lire un rapport DMARC
Avec un enregistrement DMARC, vous indiquez aux destinataires ce qu'ils doivent faire avec un courrier qui prétend provenir de votre domaine, mais qui ne passe pas le contrôle. Vous pouvez aussi leur demander de vous envoyer des rapports. Vous y voyez quels serveurs envoient du courrier au nom de votre domaine, et si ce courrier passe SPF, DKIM et DMARC. Vous repérez ainsi un service que vous aviez oublié, et vous voyez si quelqu'un utilise votre domaine de façon abusive. Ce qu'est DMARC, vous pouvez le lire dans Qu'est-ce que DMARC ? Explication en langage clair.
Activer les rapports : l'adresse rua
Vous ne recevez des rapports que si une adresse de rapport figure dans votre enregistrement DMARC, après rua=. L'enregistrement par défaut d'un pack d'hébergement WebOké est v=DMARC1;p=reject, sans adresse de rapport. Vous ne recevez donc aucun rapport. Vous pouvez ajouter une adresse sans modifier votre politique :
v=DMARC1; p=reject; rua=mailto:dmarc@votredomaine.fr
Dans DirectAdmin, cliquez dans DNS Management sur le crayon à côté de l'enregistrement _dmarc et renseignez l'adresse dans Aggregate Report Mail (RUA). Voir Configurer DMARC. Dans Mon WebOké, utilisez l'assistant DMARC sous l'onglet DNS : Assistants DNS : MX, SPF, DMARC, CAA et SRV. La politique (p=) à choisir est expliquée dans Créer un enregistrement DMARC dans DirectAdmin.
Il existe aussi ruf=, pour des rapports d'erreur sur des courriers isolés qui ont échoué. Ceux-ci peuvent contenir des fragments de courrier réel, et presque aucun grand destinataire ne les envoie. Laissez ruf vide : vous n'avez besoin que des rapports agrégés de rua.
dmarc@votredomaine.fr, afin que votre courrier habituel ne soit pas noyé. Surveillez cette boîte aux lettres : les rapports occupent aussi de l'espace de stockage.Ce que vous recevez
Un rapport est un courrier avec une pièce jointe : un fichier XML, généralement compressé en .gz ou .zip. Le nom indique qui l'envoie, pour quel domaine et pour quelle période, par exemple google.com!votredomaine.fr!1793923200!1794009599.xml.gz. Les chiffres sont des horodatages en secondes depuis 1970. Il n'y a aucun contenu de courrier : uniquement, par serveur expéditeur, le nombre de courriers et le résultat des contrôles.
Lire une ligne
Chaque bloc <record> concerne une adresse IP expéditrice :
<row>
<source_ip>198.51.100.40</source_ip>
<count>1250</count>
<policy_evaluated>
<disposition>none</disposition>
<dkim>fail</dkim>
<spf>fail</spf>
</policy_evaluated>
</row>
<identifiers>
<header_from>votredomaine.fr</header_from>
</identifiers>
<auth_results>
<dkim><domain>servicenewsletter.example</domain><result>pass</result></dkim>
<spf><domain>bounce.servicenewsletter.example</domain><result>pass</result></spf>
</auth_results>
| Élément | Signification |
|---|---|
source_ip | L'adresse IP du serveur qui a livré le courrier. |
count | Le nombre de courriers provenant de cette adresse IP avec ce résultat. |
disposition | Ce que le destinataire a fait : pass ou none (livré), quarantine (dossier spam) ou reject (rejeté). |
dkim et spf sous policy_evaluated | Le résultat DMARC : DKIM ou SPF a-t-il réussi pour un domaine correspondant à votre adresse d'expéditeur (aligné) ? |
header_from | Le domaine figurant dans l'adresse d'expéditeur du courrier. |
auth_results | Le résultat brut de SPF et DKIM, avec le domaine concerné. |
Faites attention à la différence entre auth_results et policy_evaluated. Dans l'exemple, DKIM et SPF réussissent tous les deux, mais pour le domaine du service de newsletter. Ce domaine ne correspond pas à votredomaine.fr, donc DMARC échoue. Avec p=reject, ces 1250 courriers sont rejetés.
Comment retrouver un service oublié
- Examinez
policy_evaluatedpour chaque ligne. Sidkimouspfindiquepass, cette source est en règle. - Les deux échouent ? Regardez dans
auth_resultsquel domaine est indiqué. Reconnaissez-vous un de vos propres services, comme votre logiciel de comptabilité, votre boutique en ligne ou votre service de newsletter ? Activez alors DKIM avec votre propre domaine pour ce service, et ajoutez le service dans votre enregistrement SPF si nécessaire. Voir Ajouter ou modifier un enregistrement SPF dans DirectAdmin et Configurer DKIM lorsque le DNS est géré par un autre prestataire. - Aucun domaine que vous reconnaissez ? Recherchez à qui appartient l'adresse IP, par exemple à l'aide d'une recherche whois. Une adresse IP inconnue où tout échoue correspond généralement à un usage abusif de votre domaine. C'est précisément ce contre quoi votre politique DMARC vous protège.
Vous voyez une adresse IP inconnue où SPF échoue, mais où DKIM réussit pour votre propre domaine ? Il s'agit généralement d'un courrier de votre part que quelqu'un a transféré. DMARC réussit alors via DKIM, et vous n'avez rien à faire.
Rendre les rapports lisibles
Un seul rapport peut être ouvert dans un navigateur ou un programme qui affiche le XML. Si vous en recevez beaucoup, il existe des services de rapport (dont des gratuits) et des programmes open source qui collectent les rapports et en font des synthèses. Gardez à l'esprit qu'un tel service voit alors quels serveurs envoient du courrier au nom de votre domaine. Choisissez un service en qui vous avez confiance et qui respecte le RGPD.
L'adresse de rapport se trouve sur un domaine différent du vôtre, par exemple chez un service de rapport ? Dans ce cas, cet autre domaine doit donner son autorisation via un enregistrement spécial, tel que votredomaine.fr._report._dmarc.servicerapport.example. Sans cet enregistrement, les destinataires n'envoient pas de rapports à cette adresse. Un service de rapport configure généralement lui-même cet enregistrement. Référence : RFC 9990, chapitre 4.