DMARC échoue alors que SPF et DKIM réussissent : comment trouver la cause

Vous ouvrez un rapport DMARC ou un en-tête de message et vous voyez spf=pass et dkim=pass à côté de dmarc=fail. Rien n'est cassé comme on pourrait le croire : les deux contrôles ont réussi, mais pas pour le domaine qui intéresse DMARC. Ce guide est un parcours de dépannage pour cette situation précise. Il suppose que vous savez déjà ce qu'est l'alignement et que vous voulez trouver laquelle des causes habituelles vous concerne, dans l'ordre où elles sont les plus probables.

La réponse en bref#

DMARC réussit quand SPF ou DKIM réussit et s'aligne avec le domaine de l'adresse From visible. « Réussir » et « s'aligner » sont deux questions distinctes. SPF est comparé au domaine du Return-Path (expéditeur de l'enveloppe), et DKIM au domaine d= de la signature. Si votre service d'envoi signe avec son propre domaine et fait rebondir par son propre domaine, les deux contrôles réussissent et aucun ne s'aligne. La correction est presque toujours la même : configurer un domaine de signature DKIM personnalisé sur votre propre domaine, et un domaine de return-path personnalisé si vous voulez aussi aligner SPF. Ne regardez les balises de mode strict, le transfert et les sous-domaines qu'ensuite. Pour le concept lui-même, voyez l'explication de SPF, DKIM et DMARC.

À quoi chaque contrôle est comparé#

Chaque message porte trois domaines importants, et DMARC les met en regard deux à deux. La plupart des confusions disparaissent dès que l'on sait nommer celui que chaque contrôle utilise.

Voici à quoi ressemble l'échec classique dans un message reçu. Le From est le vôtre, les deux contrôles réussissent, et les deux autres domaines appartiennent à l'expéditeur :

Authentication-Results: mx.receiver.example;
  spf=pass smtp.mailfrom=bounce.mail.vendor.example;
  dkim=pass header.d=mail.vendor.example;
  dmarc=fail header.from=yourdomain.com

L'analyseur d'en-têtes d'e-mail affiche les verdicts SPF, DKIM et DMARC ainsi que les champs From et Return-Path. Lisez vous-même la valeur DKIM d= sur la ligne DKIM-Signature. Si vous n'avez qu'un rapport agrégé, la même information se trouve dans auth_results (résultats bruts et domaines) par opposition à policy_evaluated (le verdict aligné). Le guide de lecture des rapports explique cette séparation.

Le parcours de décision#

Parcourez cette liste de haut en bas et arrêtez-vous à la première étape qui correspond. Chaque étape est une cause différente, avec une correction différente.

1. DKIM réussit, mais d= est le domaine de l'expéditeur. C'est la cause la plus fréquente et la meilleure correction. Activez la signature DKIM personnalisée (parfois appelée domaine de marque ou domaine authentifié) dans le service d'envoi pour qu'il signe avec d=yourdomain.com ou un sous-domaine de celui-ci. DKIM voyage avec le message : il continue donc de s'aligner après un transfert.
2. SPF réussit, mais le Return-Path est le domaine de l'expéditeur. SPF ne peut s'aligner que si l'expéditeur de l'enveloppe est votre domaine. Configurez un domaine de return-path (de rebond) personnalisé dans le service, en général un sous-domaine comme bounce.yourdomain.com pointé vers le fournisseur par CNAME ou par les enregistrements MX et TXT qu'il vous donne. Ajouter le fournisseur à votre propre enregistrement SPF ne corrige pas ce problème : SPF est vérifié sur le domaine du Return-Path, qui est celui du fournisseur, et votre enregistrement n'est donc jamais consulté pour ce message.
3. Les deux sont personnalisés mais DMARC échoue quand même. Regardez adkim et aspf dans votre enregistrement DMARC. Si l'un des deux vaut s (strict), la correspondance doit être exacte : une signature de mail.yourdomain.com ne s'aligne donc pas avec un From yourdomain.com. Signez avec le domaine From exact, ou retirez la balise stricte.
4. L'échec ne touche que certaines sources ou certains destinataires. Soupçonnez un transfert, une liste de diffusion ou une passerelle de sécurité qui réécrit le courrier. Voyez la section sur le transfert plus bas.
5. L'échec ne touche qu'un sous-domaine. Vérifiez si le sous-domaine a ses propres SPF et DKIM, et quel enregistrement DMARC s'y applique. Voyez la section sur les sous-domaines.
6. Rien ne réussit du tout. Ce n'est pas de l'alignement. SPF ou DKIM est absent ou cassé pour cette source, ce qui est un problème différent et plus simple.

Relaxed et strict, en pratique#

Le mode par défaut est relaxed pour les deux. En alignement relaxed, les deux domaines doivent seulement partager un domaine organisationnel : un Return-Path bounce.yourdomain.com s'aligne donc avec un From news.yourdomain.com. En strict, ils doivent être identiques.

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=r; aspf=r"

Laissez les deux à r sauf raison écrite. Le mode strict arrête rarement une vraie attaque que le mode relaxed laisserait passer, et il est une cause fréquente d'échec du courrier légitime des sous-domaines. Un détail a changé dans la norme actuelle : la RFC 9989 (mai 2026) remplace la RFC 7489 et définit le domaine organisationnel par un parcours de l'arbre DNS plutôt que par une liste de suffixes publics. Si vous utilisez des domaines inhabituels à plusieurs niveaux, vérifiez comment vos destinataires l'appliquent.

Pourquoi le transfert casse un contrôle mais pas l'autre#

Quand un message est transféré, le serveur de transfert l'envoie depuis sa propre IP. SPF est évalué sur l'IP qui se connecte : SPF échoue donc ou ne s'aligne plus. C'est pourquoi une source peut montrer un DMARC sain chez un destinataire et des échecs chez un autre : les échecs sont les copies transférées.

DKIM survit généralement au transfert, car la signature voyage à l'intérieur du message. Elle se casse quand le transmetteur ou une liste de diffusion modifie ce qui était signé, par exemple en ajoutant un pied de page ou en changeant l'objet. C'est pourquoi le conseil est toujours le même : alignez DKIM pour chaque source, afin que DMARC puisse réussir même quand SPF ne le peut pas.

Vous ne pouvez pas corriger complètement le transfert de votre côté. De petits échecs résiduels attribuables aux transmetteurs et aux listes sont normaux, ce qui est une raison de juger les progrès par tendance et par source plutôt que sur une seule mauvaise journée.

Écarts sur les sous-domaines#

Un sous-domaine n'hérite pas de l'enregistrement SPF de son parent, et les clés DKIM sont recherchées sous chaque sélecteur et chaque domaine : un sous-domaine qui envoie du courrier a donc besoin de sa propre authentification. La politique DMARC est différente : si le sous-domaine ne publie aucun enregistrement DMARC propre, les destinataires trouvent celui du parent, et la balise sp= du parent (si elle existe) fixe la politique du sous-domaine.

Deux vérifications règlent la plupart des problèmes de sous-domaine. D'abord, confirmez que le service d'envoi signe avec un domaine qui correspond au sous-domaine From, ou au parent en mode relaxed. Ensuite, si vous avez défini sp=reject sur le parent, confirmez que chaque sous-domaine d'envoi réussit avant de vous y fier. Le guide du sous-domaine d'envoi explique comment structurer cela pour que chaque flux de courrier reste isolé.

Trouver rapidement la source en échec#

Le plus coûteux dans un échec d'alignement n'est pas la correction, c'est de trouver quelle source en a besoin. Vos rapports regroupent le courrier par IP d'envoi : une source qui signe avec son propre domaine apparaît donc comme une ligne avec un faible pourcentage DMARC.

Les rapports DMARC de Qualisend affichent chaque source avec des pourcentages DMARC, DKIM et SPF distincts, et signalent les lignes inférieures à 100 %. Une source qui signe et rebondit via les domaines du fournisseur affiche des pourcentages DMARC, DKIM et SPF tous faibles, ce qui correspond au schéma de l'étape 1 ou 2 ci-dessus. La page n'affiche ni le domaine d= ni le Return-Path de chaque ligne : vous devez donc encore prendre un message de cette source et lire ses en-têtes pour voir lequel des deux domaines est le mauvais. Elle ne rapporte aussi que ce que les destinataires renvoient : un destinataire qui n'envoie pas de rapports agrégés y reste invisible.

Pour un premier aperçu sans compte, l'analyseur gratuit de rapports DMARC lit un fichier de rapport dans votre navigateur. Pour tester un expéditeur de bout en bout, envoyez un message au test de délivrabilité e-mail gratuit et lisez ses résultats d'authentification.

Une liste de contrôle par service#

Chaque service d'envoi emploie ses propres mots pour ces réglages, mais le travail reste de quatre points. Vérifiez chacun dans la documentation du service plutôt que de vous fier à un aide-mémoire, car les menus et les valeurs par défaut changent.

• Domaine DKIM personnalisé. Cherchez « authenticate your domain », « branded sending domain » ou « DKIM ». Publiez les clés qu'il vous donne. Un nouveau nom de sélecteur n'entre pas en conflit avec vos sélecteurs existants.
• Domaine de return-path personnalisé. Cherchez « custom bounce domain », « return-path » ou « link branding ». C'est souvent un réglage distinct de DKIM.
• Adresse From. Confirmez que le From utilise votre domaine. Un From sur un domaine de messagerie gratuit, envoyé via un tiers, ne peut s'aligner avec rien de ce qui vous appartient.
• Un changement à la fois. Faites le changement, envoyez un test, lisez l'en-tête, puis vérifiez le rapport suivant. Plusieurs changements à la fois rendent impossible de voir lequel a fonctionné.

Quand s'arrêter et quand s'inquiéter#

Vous pouvez envisager d'appliquer votre politique quand chaque source légitime réussit DMARC par au moins un contrôle aligné, et que les échecs restants relèvent de transmetteurs ou de courrier que vous ne reconnaissez pas. Si vous cherchez encore comment y arriver, le guide de configuration de DMARC donne l'ordre de déploiement, et le guide des exigences des expéditeurs explique pourquoi un DMARC aligné compte désormais pour le courrier en masse.

L'alignement dit aux destinataires que le courrier vient bien de vous, mais il ne dit rien de la liste qui se trouve derrière. Une fois toutes vos sources en réussite, testez quelques adresses avec le vérificateur d'e-mails gratuit, qui contrôle la syntaxe, les enregistrements MX et les fautes de frappe une adresse à la fois. Pour une liste entière, l'offre gratuite de la page des tarifs vous donne 100 crédits qui lancent la vérification complète, car un domaine parfaitement aligné a quand même besoin d'une liste saine pour mériter la boîte de réception.