Déployer DMARC : de none à reject

Module 4: Délivrabilité : SPF, DKIM et DMARC en pratique · Temps de lecture : 12 minutes

Objectif pédagogique : À l'issue de cette leçon, vous pourrez expliquer le fonctionnement de l'alignement, planifier un déploiement DMARC par étapes de p=none à p=reject, choisir les bons tags (rua, sp, np, t) et anticiper les pièges classiques liés à la redirection et aux listes de diffusion.

Notions clés : DMARC (RFC 9989), Author Domain (le domaine dans De), alignement (alignment), relaxed et strict (adkim, aspf), domaine organisationnel, DNS tree walk, p=none, p=quarantine, p=reject, rua, sp, np, t=y (mode test), tags obsolètes pct, rf, ri, listes de diffusion, réécriture du champ From, ARC

Ce que DMARC vérifie précisément

DMARC répond à une seule question pour chaque e-mail entrant : SPF ou DKIM a-t-il réussi pour un domaine lié à l'adresse De ? Le domaine figurant dans l'adresse De est appelé, dans la norme, l'Author Domain. Les bases de l'enregistrement sont décrites dans le cours DNS, leçon 4.5. En mai 2026 est parue la norme révisée : RFC 9989, avec le RFC 9990 pour les rapports agrégés et le RFC 9991 pour les rapports d'erreurs. Les enregistrements existants avec v=DMARC1 restent valides sans modification.

L'alignement en pratique

« Est lié à » se nomme l'alignement (alignment). Il existe deux modes :

• relaxed (par défaut) : les domaines partagent le même domaine organisationnel. nieuws.example.com et example.com sont alignés ; example.com et example.net ne le sont pas.
• strict (adkim=s ou aspf=s) : les domaines doivent être exactement identiques.

Pour SPF, DMARC compare le domaine du Return-Path au domaine De. Pour DKIM, le domaine d= d'une signature valide. Quelques exemples pour un e-mail avec De: info@example.com :

Laissez donc adkim et aspf en relaxed, sauf raison valable de les changer.

Comment un destinataire sait-il quel est le domaine organisationnel ? Autrefois grâce à la Public Suffix List, une liste de domaines comme .nl, .co.uk et github.io. Le RFC 9989 remplace cela par un DNS tree walk : le destinataire recherche les enregistrements _dmarc du domaine et des domaines parents. Pour un utilisateur ordinaire, rien ne change ; vous ne le remarquerez que si vous travaillez avec des enregistrements sur des sous-domaines.

Le déploiement en quatre phases

L'objectif est p=reject : les destinataires refusent alors les e-mails qui se font passer pour vous, ce qui constitue la meilleure protection contre les fausses factures et le phishing usurpant votre identité. Mais passer directement en reject sans connaître tous vos expéditeurs risque de vous faire refuser vos propres factures. D'où cet ordre (la ligne de conduite conseillée dans ce cours) :

Phase 0 : préparation

• Dressez l'inventaire de tous vos expéditeurs (leçon 4.2).
• Assurez-vous que chaque expéditeur dispose d'un SPF ou DKIM aligné, de préférence DKIM, car il survit à la redirection.
• Créez une adresse dédiée aux rapports, par exemple dmarc@example.com, ou utilisez un service de rapports. Vous recevrez rapidement plusieurs rapports par jour.

Phase 1 : mesurer avec p=none

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

p=none n'a aucun effet sur l'e-mail lui-même. Les destinataires délivrent tout comme d'habitude, mais vous envoient chaque jour un rapport agrégé (aggregate report) indiquant chaque serveur ayant envoyé des e-mails au nom de votre domaine, et si SPF, DKIM et DMARC ont réussi. Cela permet aussi de répondre à l'exigence minimale de Gmail, Yahoo et Microsoft pour les expéditeurs en masse (leçon 5.3).

Laissez cette configuration en place pendant au moins deux à quatre semaines, voire plus longtemps si vous avez des services qui n'envoient que ponctuellement (un rappel annuel, une facture trimestrielle). Lisez les rapports (leçon 4.5) et corrigez chaque source qui échoue.

Phase 2 : p=quarantine

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Les e-mails qui ne passent pas DMARC sont envoyés dans le dossier spam du destinataire. Si vous oubliez malgré tout une source, l'e-mail n'est pas perdu, mais difficile à retrouver. Pour plus de prudence, ajoutez d'abord t=y (mode test) : les destinataires appliquent alors une politique un cran plus souple (donc none au lieu de quarantine), mais vous voyez dans les rapports ce qui se serait passé. C'est, dans le RFC 9989, le remplaçant de l'ancien tag pct=.

Observez à nouveau les rapports pendant quelques semaines.

Phase 3 : p=reject

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"

Les e-mails qui ne passent pas DMARC sont refusés. L'expéditeur reçoit un bounce, par exemple chez Microsoft avec le code 5.7.509, et chez Gmail avec une référence à la politique DMARC (module 6). Continuez à surveiller les rapports : de nouveaux services apparaissent régulièrement.

Quand peut-on accélérer ?

Tout votre courrier passe-t-il par un seul prestataire qui gère SPF et DKIM pour vous, sans qu'aucun autre service n'envoie rien au nom de votre domaine ? Dans ce cas, une politique stricte peut être appliquée immédiatement. Certains hébergeurs appliquent d'ailleurs p=reject par défaut. Si vous décidez ensuite d'utiliser un service de newsletter ou un logiciel de comptabilité, repassez temporairement sur p=none avec une adresse de rapport, jusqu'à ce que ce service soit correctement configuré.

Les autres tags

Une adresse de rapport sur un autre domaine (par exemple un service de rapports) ne fonctionne que si ce domaine donne son autorisation via un enregistrement du type example.com._report._dmarc.rapportdienst.example. Le service s'en charge généralement lui-même (RFC 9990, chapitre 4).

Pièges

Listes de diffusion

Une liste de diffusion classique redirige votre e-mail vers tous les membres, depuis son propre serveur, et ajoute souvent [liste] dans l'objet ou un pied de page. SPF échoue alors (serveur différent) et DKIM aussi (e-mail modifié). Avec p=reject, les destinataires refusent votre message envoyé à la liste. Les logiciels de liste modernes résolvent ce problème en réécrivant l'adresse De vers l'adresse de la liste (« Jan via Membres »), ou en redirigeant l'e-mail sans le modifier. Si vous utilisez une liste qui ne le fait pas, vous le constaterez dans vos rapports.

Redirection

Voir la leçon 3.3 : SPF se casse, DKIM survit généralement. Un destinataire peut, grâce à ARC, décider de faire confiance à un service de redirection connu. Dans les rapports, vous reconnaîtrez ce cas comme un e-mail provenant d'un serveur inconnu avec DKIM pass et SPF fail ; ce n'est pas une raison d'assouplir votre politique.

Deux enregistrements ou une faute de frappe

Deux enregistrements DMARC sur _dmarc invalident la politique, tout comme une faute de frappe dans p= (p=rejected n'existe pas). Vérifiez après chaque modification.

En pratique : à quoi cela ressemble-t-il dans un panneau

Avec une offre d'hébergement WebOké, v=DMARC1;p=reject est configuré par défaut, sans adresse de rapport. C'est sûr si tout votre courrier transite par ces serveurs. Si vous envoyez aussi via d'autres services, passez en p=none avec une adresse rua et suivez les phases décrites. Dans DirectAdmin, cela se fait dans Administration DNS avec le crayon à côté de l'enregistrement _dmarc (champs Type de stratégie de domaine et E-mail agrégée (RUA)) ; dans Mon WebOké, avec l'assistant DMARC de l'onglet DNS. Chez d'autres hébergeurs, vous créez un enregistrement TXT sur le nom _dmarc et saisissez vous-même le texte ; le résultat est identique.

Résumé

• DMARC réussit si SPF ou DKIM réussit pour un domaine aligné avec le domaine De ; l'alignement relaxed accepte les sous-domaines.
• Déploiement : inventaire, p=none avec rua et lecture des rapports, p=quarantine (éventuellement avec t=y), puis p=reject.
• Utilisez np=reject pour les sous-domaines inexistants dès que la politique principale est stricte. pct, rf et ri sont obsolètes.
• Les listes de diffusion et les redirections génèrent des échecs attendus ; DKIM et ARC en compensent une partie.
• Exactement un seul enregistrement sur _dmarc, sans faute de frappe.

Quiz

Exercice

Exercice Z4.4 : Vérifier le DMARC de votre domaine et choisir l'étape suivante. Indiquez votre propre domaine (ou internet.nl). Renseignez l'enregistrement DMARC tel que vous l'avez trouvé, la valeur de p= et si une adresse rua y figure. Choisissez ensuite quelle phase du déploiement constitue selon vous l'étape suivante, et pourquoi. Le programme interroge l'enregistrement en direct, vérifie la syntaxe selon le RFC 9989 (un seul enregistrement, p valide, tags connus, tags obsolètes signalés en avertissement), et place vos réponses à côté.

Pour en savoir plus

Les étapes décrites dans ces articles s'appliquent aux panneaux de WebOké ; chez d'autres hébergeurs, le fonctionnement est comparable.

• Cours DNS gratuit 4.5: DMARC : que doivent faire les destinataires avec les faux e-mails
• Guide DirectAdmin 5.9: DMARC instellen
• Qu'est-ce que le DMARC ? Explication en termes simples
• Créer un enregistrement DMARC dans DirectAdmin
• RFC 9989 (DMARC), en particulier 4.7 (tags) et l'annexe C (modifications depuis le RFC 7489)