DMARC : que doivent faire les destinataires avec les faux e-mails

Module 4: Enregistrements pour l'e-mail · Temps de lecture : 10 minutes

Objectif pédagogique : après cette leçon, vous pourrez expliquer comment DMARC combine SPF et DKIM, établir un enregistrement DMARC valide et renforcer la politique étape par étape.

Notions clés : DMARC, _dmarc, v=DMARC1, politique p=none / quarantine / reject, alignement (alignment), rapports rua, sp= et np=, mode test t=, un seul enregistrement DMARC

Le maillon manquant

SPF (leçon 4.3) vérifie de quel serveur provient un e-mail, mais regarde l'adresse technique d'enveloppe. DKIM (leçon 4.4) vérifie une signature, mais celle-ci peut provenir de n'importe quel domaine. Un fraudeur peut donc envoyer un e-mail avec « De : info@example.com » qui passe parfaitement le contrôle SPF pour son propre domaine et qui est correctement signé par son propre domaine.

DMARC (Domain-based Message Authentication, Reporting and Conformance) referme ce cercle. Il pose une seule question : le contrôle SPF ou DKIM réussi correspond-il bien au domaine que le destinataire voit dans l'adresse « De : » ? C'est ce qu'on appelle l'alignement (alignment). Et vous indiquez aux destinataires que faire si la réponse est non.

DMARC a été décrit en 2015 dans la RFC 7489. En mai 2026, la version révisée est parue comme norme internet officielle : la RFC 9989 (avec les RFC 9990 et 9991 pour les rapports). Les enregistrements existants avec v=DMARC1 restent valides.

Comment un destinataire décide

Lorsqu'un e-mail arrive avec l'expéditeur info@example.com, le destinataire procède ainsi :

1. SPF : l'e-mail provient-il d'un serveur autorisé, et le domaine d'enveloppe correspond-il à example.com ?
2. DKIM : y a-t-il une signature valide, et le domaine signataire (d=) correspond-il à example.com ?
3. DMARC : au moins l'un des deux a-t-il réussi et est-il aligné ? Si oui, l'e-mail est conforme. Sinon, le destinataire applique votre politique.

L'un des deux suffit. C'est pourquoi DKIM est si important pour les services qui envoient avec leur propre adresse d'enveloppe, comme beaucoup de services de newsletters : dans ce cas, SPF réussit, mais pas pour votre domaine. Seule une signature DKIM avec d=example.com rend alors l'e-mail conforme.

« Correspondre » signifie par défaut : le même domaine organisationnel. nieuws.example.com correspond à example.com. C'est ce qu'on appelle l'alignement relaxed. Avec adkim=s ou aspf=s (strict), il doit s'agir exactement du même domaine. Pour presque tout le monde, l'alignement relaxed convient.

À quoi ressemble un enregistrement DMARC ?

Un enregistrement DMARC est un enregistrement TXT sur le nom _dmarc de votre domaine :

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Il se compose d'éléments (tags) séparés par un point-virgule.

Choisir la politique

Ordre judicieux :

1. D'abord mettre SPF et DKIM en ordre, pour tous les services qui envoient des e-mails en votre nom : votre fournisseur de messagerie, votre site web, votre service de newsletter, votre logiciel de comptabilité, votre boutique en ligne.
2. Commencez par p=none et une adresse rua. Observez pendant quelques semaines dans les rapports quels services envoient des e-mails au nom de votre domaine et s'ils réussissent les contrôles.
3. Passez à p=quarantine, puis, si tout continue de bien se passer, passez à p=reject.

Si vous doutez que tous vos services soient correctement configurés, ne passez pas directement à reject. Un service oublié (par exemple le programme qui envoie vos factures) ne parviendrait alors plus à destination.

Certains hébergeurs configurent d'emblée un enregistrement DMARC strict (p=reject) sur une nouvelle offre. C'est sans risque tant que tous vos e-mails passent par leurs serveurs. Si vous envoyez aussi des e-mails via d'autres services, vérifiez d'abord le SPF et le DKIM de ces services.

Rapports

Avec rua=mailto:dmarc@example.com, les grands fournisseurs de messagerie vous envoient quotidiennement un récapitulatif (un fichier XML) de qui a envoyé des e-mails en votre nom et si cela a réussi. Utile, mais technique. Utilisez une adresse dédiée ; vous en recevrez rapidement plusieurs par jour. Il existe des services qui rendent ces rapports lisibles.

Si vous envoyez les rapports vers une adresse sur un autre domaine (par exemple un service de rapports), ce domaine doit donner son autorisation dans son DNS. Le service s'en charge généralement lui-même.

Erreurs fréquentes

• Deux enregistrements DMARC. Il ne peut y en avoir qu'un seul sur _dmarc. En cas de doublon, le destinataire agit comme si vous n'aviez pas de DMARC du tout. Modifiez l'enregistrement existant.
• Sur le mauvais nom. L'enregistrement doit se trouver sur _dmarc.example.com, pas sur example.com lui-même.
• Fautes de frappe dans les tags. p=reject fonctionne, mais p=rejected ou policy=reject non. Sans p= valide, l'enregistrement est considéré comme p=none.
• Activer DMARC avant que SPF et DKIM ne soient en ordre. Vous rejetez alors vos propres e-mails.
• Revérifier trop vite après une modification. Un enregistrement DMARC a parfois une TTL longue (par exemple quatre heures). Après une modification, vous verrez donc encore l'ancien enregistrement un moment.

Pourquoi c'est important

Depuis février 2024, Gmail et Yahoo exigent des expéditeurs envoyant de grands volumes d'e-mails (plus d'environ 5 000 par jour) un enregistrement DMARC, au minimum avec p=none, ainsi qu'une réussite alignée de SPF ou DKIM. Microsoft exige la même chose depuis mai 2025 pour Outlook.com et Hotmail. Même pour les petits expéditeurs, DMARC améliore la délivrabilité et protège vos clients contre les fausses factures émises en votre nom.

En pratique : à quoi cela ressemble dans un panneau

Dans cet exemple, nous utilisons DirectAdmin. Dans Administration DNS, cliquez sur le crayon à côté de l'enregistrement TXT _dmarc, ou créez un nouvel enregistrement TXT avec le nom _dmarc et choisissez DMARC dans Type d'enregistrement TXT. Dans Type de stratégie de domaine, choisissez Aucun, Quarantaine ou Rejeter ; dans E-mail agrégée (RUA), renseignez éventuellement une adresse de rapport. Mon WebOké propose une aide DMARC similaire dans l'onglet DNS.

Si votre panneau n'a pas d'assistant, créez simplement un enregistrement TXT classique sur _dmarc et saisissez le texte vous-même. Le résultat est identique.

Résumé

• DMARC vérifie si SPF ou DKIM réussit pour le domaine présent dans l'adresse « De : » (alignement).
• L'enregistrement se trouve sur _dmarc.<domaine>, commence par v=DMARC1 et comporte une politique p=none, quarantine ou reject.
• D'abord SPF et DKIM pour tous les services, puis p=none avec rapports, ensuite un renforcement progressif.
• Exactement un seul enregistrement DMARC par domaine.

Quiz

Exercice

Exercice Z4.5 : rechercher un DMARC. Recherchez l'enregistrement DMARC de sidn.nl (le site de SIDN, le registre de .nl aux Pays-Bas) (ou de votre propre domaine). Collez l'enregistrement complet et indiquez quelle politique (p=) y figure.

Exercice O4.5 : configurer soi-même dans votre zone d'entraînement. Dans la zone d'entraînement, vous envoyez les rapports vers une adresse d'entraînement fixe ; pour votre domaine réel, utilisez une adresse qui vous appartient. Créez dans votre zone d'entraînement <code>.dnspractice.eu un enregistrement DMARC avec la politique quarantine (ou none si vous préférez commencer par la surveillance) et des rapports envoyés à dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).

Pour aller plus loin

Les étapes décrites dans ces articles concernent les panneaux de WebOké ; dans d'autres panneaux, le fonctionnement est comparable.

• Qu'est-ce que le DMARC ? Explication en termes simples
• Guide DirectAdmin 5.9: DMARC instellen
• Créer un enregistrement DMARC dans DirectAdmin
• Guide WebOké 5.5: Assistants DNS : MX, SPF, DMARC, CAA et SRV
• Vérification publique des e-mails (SPF, DMARC, MX) : https://www.weboke.fr/verification-e-mail, et le test de messagerie d'internet.nl : https://internet.nl
• RFC 9989 (DMARC), RFC 9990 (rapports) ; historique RFC 7489