Chapitre 5 · 5.9
DMARC instellen
DMARC est la troisième étape après SPF et DKIM. Avec un enregistrement DMARC, vous indiquez aux destinataires ce qu’ils doivent faire avec les e-mails qui semblent provenir de votre domaine, mais qui ne passent pas le contrôle SPF ou DKIM. Vous rendez ainsi la tâche difficile aux fraudeurs qui voudraient envoyer des e-mails au nom de votre domaine. De grands acteurs comme Gmail et Yahoo exigent que les expéditeurs disposent d’un enregistrement DMARC.
L’enregistrement DMARC chez WebOké
Un pack d’hébergement dispose par défaut d’un enregistrement DMARC : un enregistrement TXT avec le nom _dmarc et la valeur v=DMARC1;p=reject. Cela signifie que les e-mails qui ne passent pas le contrôle sont rejetés. C’est le réglage le plus strict et il offre la meilleure protection contre l’usage abusif de votre domaine. Si tous vos e-mails passent par WebOké, SPF et DKIM sont corrects automatiquement et vous pouvez laisser ce réglage tel quel.
Envoyez-vous aussi des e-mails via un autre service, ou créez-vous vous-même un nouvel enregistrement DMARC ? Procédez alors étape par étape : commencez par Aucun avec une adresse de rapport, vérifiez pendant quelques semaines dans les rapports que tous vos propres e-mails passent le contrôle, puis choisissez Quarantaine et enfin Rejeter.
Modifier l’enregistrement DMARC
- Ouvrez Administration DNS.
- Cliquez sur le crayon à côté de l’enregistrement TXT portant le nom _dmarc. S’il n’y en a pas encore, cliquez sur RECORD TOEVOEGEN, choisissez TXT, indiquez _dmarc comme nom et sélectionnez DMARC dans Type d’enregistrement TXT.
- Dans Type de stratégie de domaine, choisissez ce qui doit se passer avec les e-mails qui ne passent pas le contrôle.
- Indiquez éventuellement dans E-mail agrégée (RUA) une adresse e-mail pour les rapports.
- Vérifiez en bas, dans Valeur, l’aspect final de l’enregistrement, puis enregistrez.
Quelle stratégie choisir ?
| Type de stratégie de domaine | Dans l’enregistrement | Que se passe-t-il ? |
|---|---|---|
| Aucun | p=none | Rien. Les destinataires envoient seulement des rapports (si vous indiquez une adresse RUA). C’est le point de départ si vous envoyez aussi des e-mails via d’autres services ou si vous créez un nouvel enregistrement. |
| Quarantaine | p=quarantine | Les e-mails qui ne passent pas le contrôle vont dans le dossier spam. La deuxième étape, une fois que les rapports sont corrects. |
| Rejeter | p=reject | Les e-mails qui ne passent pas le contrôle sont rejetés. C’est l’objectif, et le réglage par défaut d’un pack d’hébergement WebOké. |
Attention : Avec Quarantaine ou Rejeter, il est d’autant plus important que votre enregistrement SPF soit correct. Si vous envoyez aussi des e-mails via un autre service (votre logiciel de comptabilité, un service de newsletter, Microsoft 365), ajoutez d’abord ce service dans votre enregistrement SPF (voir Configurer et compléter le SPF) et activez si possible DKIM pour ce service (voir Activer et vérifier DKIM). Sinon, les destinataires rejetteront les e-mails de ce service. En cas de doute, réglez temporairement la stratégie sur Aucun, puis revenez progressivement vers Rejeter.
Les autres champs
- Type de stratégie de sous-domaine : une stratégie différente pour les sous-domaines. Laissez vide pour utiliser la même stratégie.
- E-mail agrégée (RUA) : vous recevez ici quotidiennement un aperçu (en XML) de qui a envoyé des e-mails au nom de votre domaine. Pratique pour vérifier, mais ce sont des fichiers techniques. Vous pouvez laisser ce champ vide.
- E-mail forensic (RUF) : des rapports sur des e-mails individuels ayant échoué. Peu de services les envoient encore. Laissez vide.
- Pourcentage : la proportion des e-mails à laquelle la stratégie s’applique. Laissez la valeur à 100. Dans la nouvelle norme DMARC (RFC 9989, 2026), ce champ disparaît ; votre enregistrement existant continuera simplement à fonctionner.
- Mode d’alignement pour DKIM et Mode d’alignement pour SPF : laissez sur Détendu.
Questions fréquentes
J’ai supprimé l’enregistrement _dmarc, mais je le vois encore
D’autres ordinateurs gardent l’enregistrement en mémoire jusqu’à l’expiration du TTL. Pour l’enregistrement DMARC, celui-ci est par défaut de 14400 secondes, soit quatre heures. Patientez donc un peu (voir Quand une modification prend-elle effet ? Délai d'attente et TTL).
Puis-je avoir deux enregistrements DMARC ?
Non. Comme pour SPF, il ne peut y avoir qu’un seul enregistrement DMARC. Modifiez l’enregistrement existant.