Publier un enregistrement DMARC est un travail ponctuel. Le surveiller est la partie qui ne s'arrête jamais, et c'est là que la plupart des domaines se délitent discrètement : un nouvel outil marketing se met à envoyer en votre nom, un fournisseur modifie sa configuration de signature, une modification DNS supprime l'adresse rua=, et personne ne s'en aperçoit pendant des mois. Ce guide porte sur la routine continue après la mise en ligne de l'enregistrement : quoi surveiller, à quelle fréquence, qui doit s'en charger, quels seuils méritent une alerte, et ce que les données agrégées ne peuvent pas vous dire.
La réponse en bref#
La surveillance DMARC consiste à collecter les rapports agrégés quotidiens que les fournisseurs de messagerie envoient à votre adresse rua=, à les transformer en une vue par source, et à examiner cette vue selon un calendrier. Vous guettez quatre choses : une nouvelle source d'envoi que vous n'avez pas autorisée, une source connue dont le taux de réussite chute, une baisse du volume de rapports (souvent le signe d'une adresse rua= cassée) et une dérive de la politique dans l'enregistrement lui-même. Une revue hebdomadaire de dix minutes plus une alerte en cas d'échecs soudains couvre la plupart des domaines. Pour lire un seul fichier de rapport, l'analyseur de rapports DMARC gratuit suffit. Pour continuer à surveiller sans ouvrir de XML, il vous faut quelque chose qui reçoive les rapports à votre place. Les données ont toujours un ou deux jours de retard et ne couvrent que les fournisseurs qui envoient des rapports : considérez-les comme un détecteur de fumée, pas comme un flux en direct.
Lire les rapports ou les surveiller#
Comment lire les rapports DMARC explique ce que contient un fichier XML : l'IP source, le nombre de messages, et les résultats SPF et DKIM. Cette compétence compte, mais elle répond à une question ponctuelle : qu'a vu ce destinataire ce jour-là ?
La surveillance répond à d'autres questions dans la durée :
- Une source qui passait le mois dernier s'est-elle mise à échouer cette semaine ?
- Une source qui n'avait jamais envoyé en notre nom est-elle apparue ?
- Le nombre total de messages rapportés a-t-il été divisé par deux ?
- L'enregistrement est-il toujours celui que nous avons publié ?
Vous ne pouvez pas y répondre avec un dossier de pièces jointes non lues. Un domaine très actif reçoit des dizaines de rapports par jour de la part de différents destinataires, chacun avec sa propre liste d'IP. Quelqu'un, ou quelque chose, doit les fusionner en un tableau par domaine et comparer aujourd'hui avec le passé. Si vous n'avez pas encore publié d'enregistrement avec les rapports activés, commencez par comment configurer DMARC et revenez une fois les premiers rapports arrivés, ce qui prend généralement 24 à 48 heures.
Quoi surveiller, par ordre de priorité#
Tous les chiffres ne méritent pas d'attention. Voici les signaux qui ont changé l'issue pour de vrais domaines, à peu près du plus urgent au moins urgent.
| Signal | Ce que cela signifie en général | Première action |
|---|---|---|
| Nouvelle source avec du courrier en échec | Un outil oublié, un transfert, ou quelqu'un qui usurpe votre domaine | Identifiez l'IP d'envoi, puis consultez le guide des expéditeurs inconnus |
| Une source connue tombe sous son taux de réussite habituel | Un fournisseur a changé son domaine de signature, une clé DKIM a été supprimée, ou SPF ne l'inclut plus | Vérifiez les paramètres d'authentification actuels du fournisseur et votre DNS |
| Le volume total rapporté chute fortement | L'adresse rua= est cassée, ou un expéditeur s'est arrêté | Vérifiez l'enregistrement en ligne, puis consultez rapports non reçus |
| La part d'échecs augmente alors que les sources restent les mêmes | Transferts ou listes de diffusion, ou un changement dans la façon dont un destinataire évalue | Comparez par destinataire, puis consultez les échecs d'alignement |
| Enregistrement modifié | Quelqu'un a modifié le DNS : politique assouplie, rua= retiré, second enregistrement ajouté | Comparez avec votre dernier enregistrement valide connu |
Un mot sur la deuxième ligne, car c'est celle que l'on interprète mal. DMARC passe quand SPF ou DKIM passe et s'aligne avec le domaine From visible. Une source peut échouer à l'alignement SPF tous les jours et afficher quand même 100 pour cent de réussite DMARC parce que DKIM la porte. Ce n'est pas grave, jusqu'à ce que la clé DKIM soit renouvelée ou supprimée : la source s'effondre alors d'un coup. Quand vous examinez une source, regardez les deux colonnes, pas seulement le résultat combiné.
Une routine hebdomadaire de dix minutes#
Une revue quotidienne est excessive pour la plupart des équipes, et une revue mensuelle est trop lente. Un passage hebdomadaire est un bon compromis. Voici une routine à adapter :
- Ouvrez les 7 derniers jours pour chaque domaine que vous possédez, y compris les domaines parqués ou qui n'envoient jamais de courrier.
- Triez les sources par volume. Confirmez que les cinq premières sont celles que vous attendez.
- Repérez les nouvelles IP ou les nouveaux noms qui ne figuraient pas dans la liste de la semaine dernière. Notez chacun avec la date de sa première apparition.
- Examinez toute source sous 100 pour cent de réussite DMARC. Décidez pour chacune : corriger, ou accepter comme bruit de transfert.
- Comparez le volume total avec la semaine précédente. Une forte baisse mérite un coup d'œil à l'enregistrement avant toute autre chose.
- Notez la politique (
p=etsp=) et confirmez qu'elle correspond à ce que vous avez défini en dernier.
Tenez un simple tableau d'inventaire avec une ligne par source légitime : nom du service, responsable en interne, type de courrier envoyé, et mode d'authentification (DKIM sur votre propre domaine, include SPF, ou les deux). Les rapports vous disent ce qui envoie. Seul votre tableau vous dit si cela devrait envoyer.
Source Owner Mail type Authenticates via
Google Workspace IT Staff mail DKIM d=example.com
Newsletter tool Marketing Campaigns DKIM d=example.com, include in SPF
Billing system Finance Invoices DKIM d=example.com
Qui doit s'en charger#
La surveillance DMARC échoue le plus souvent parce qu'elle n'appartient à personne. Le DNS relève de l'informatique, les outils d'envoi du marketing, du produit, du support et de la finance, et les rapports atterrissent dans une boîte partagée qu'une personne a créée avant de partir.
Désignez un responsable nommé par domaine, et donnez-lui deux pouvoirs : celui de voir tous les rapports, et l'autorité de demander aux autres équipes ce qu'est une source. Un nouvel expéditeur devrait être une demande qui parvient à ce responsable avant le lancement, pas une surprise découverte dans un rapport trois semaines plus tard. Si votre entreprise gère beaucoup de domaines, attribuez le responsable par domaine, pas par entreprise, car les gens qui savent quels outils envoient en tant que shop.example.com sont rarement ceux qui connaissent example.com.
Seuils d'alerte qui valent la peine#
Les alertes doivent être assez rares pour que les gens les lisent encore. Ces seuils sont des conseils, pas des normes ; ajustez-les à votre volume :
- Toute nouvelle source qui envoie du courrier en échec, une fois qu'elle dépasse un petit plancher (par exemple 5 messages en échec dans la journée) pour qu'un transfert isolé ne mobilise personne.
- Un total d'échecs supérieur à un niveau fixe pour la journée (par exemple 10 messages) sur les domaines à volume modeste. Sur les gros domaines, utilisez plutôt un pourcentage du volume.
- Une source connue qui tombe sous son taux de réussite habituel deux jours de suite, ce qui filtre le bruit d'un jour.
- Un volume de rapports qui chute de moitié d'une semaine à l'autre.
Ce sur quoi ne pas alerter : un seul destinataire qui rapporte un petit nombre d'échecs, des variations du taux de réussite d'un point ou deux, et tout ce qui n'est que du bruit de p=none pendant que vous découvrez encore vos expéditeurs.
Le module Rapports DMARC de Qualisend couvre la version de base. Chaque jour, il examine la veille en UTC et vous envoie un e-mail quand un domaine a 10 messages ou plus qui ont échoué à la fois à SPF et à DKIM, ou quand une source qu'il n'a pas vue pour ce domaine au cours des 30 derniers jours envoie 5 messages en échec ou plus. Il n'alerte pas sur les baisses du taux de réussite qui restent sous ces nombres, sur les changements de politique, ni sur l'usurpation qu'aucun fournisseur n'a rapportée : conservez donc aussi votre revue hebdomadaire.
Limites des données agrégées#
Les rapports agrégés sont utiles et incomplets. Connaissez leurs limites avant de leur faire confiance pour une décision :
- Ils arrivent en différé. Les fournisseurs envoient généralement une fois par jour : vous voyez la veille ou l'avant-veille. Ce n'est pas une vue en temps réel.
- Ils ne viennent que des destinataires qui en envoient. Les grands fournisseurs de messagerie le font. Beaucoup de petits destinataires non. Vos chiffres décrivent la tranche qui rapporte, pas tout votre courrier.
- Ils ne contiennent aucun contenu de message. Vous obtenez des décomptes et des résultats d'authentification par source, jamais d'objets ni de destinataires. C'est voulu et respectueux de la vie privée, et cela signifie aussi que vous ne pouvez pas voir précisément quel message a échoué.
- Ils ne peuvent pas montrer une usurpation que personne n'a rapportée. Si un destinataire n'envoie pas de rapports, le courrier usurpé vers ce destinataire vous est invisible.
- Les rapports forensiques (d'échec) sont rarement disponibles. La balise
ruf=demande des rapports d'échec par message, mais de nombreux grands fournisseurs n'en envoient pas : prévoyez donc de vous appuyer uniquement sur les données agrégées. Rapports DMARC ne reçoit pas du tout de rapports d'échec. - Le volume par source est un nombre de messages, pas de destinataires. Une source avec 3 messages et 3 échecs pose un autre problème qu'une source avec 30 000 messages et 3 échecs.
Rien de tout cela ne rend les données moins précieuses. Cela signifie qu'un tableau de bord propre dit « rien d'anormal dans ce qui a été rapporté », pas « rien d'anormal ».
Où se place la surveillance dans la boucle de sécurité complète#
La surveillance DMARC est une couche parmi d'autres. L'enregistrement peut être parfait et pourtant être défait par un autre problème DNS, comme un enregistrement SPF qui dépasse la limite de lookups ou une clé DKIM supprimée. La routine plus large est décrite dans le guide de la surveillance de la santé du domaine, qui couvre les enregistrements dont DMARC dépend. Quand vos rapports sont propres et stables, l'étape naturelle suivante est de durcir la politique, ce que traite passer de p=none à p=reject. Si vous comparez des outils pour assurer la collecte, comment choisir un outil de surveillance DMARC présente les critères et compare les prix réels.
Pour les règles qui rendent tout cela important en pratique, voir les exigences de Google et Yahoo pour les expéditeurs, et pour une vue plus large de la raison pour laquelle des e-mails authentifiés atterrissent quand même en spam, le guide de la délivrabilité e-mail.
Foire aux questions
01Qu'est-ce que la surveillance DMARC ?
La surveillance DMARC est la pratique continue qui consiste à collecter les rapports agrégés que les fournisseurs de messagerie envoient à votre adresse rua, à les fusionner en une vue par source, et à examiner les changements dans la durée. Vous guettez les nouvelles sources d'envoi, les sources connues dont le taux de réussite chute, la baisse du volume de rapports et les modifications de votre enregistrement. Elle diffère de la lecture d'un seul fichier XML, qui ne montre qu'un jour et un seul destinataire.
02À quelle fréquence examiner les rapports DMARC ?
Pour la plupart des domaines, une revue hebdomadaire d'une dizaine de minutes suffit, appuyée par une alerte en cas d'échecs soudains. Une revue quotidienne demande généralement plus d'efforts que les données ne le justifient, car les rapports arrivent une fois par jour et en différé. Examinez plus souvent pendant que vous découvrez vos expéditeurs ou juste avant de durcir votre politique, puis adoptez le rythme hebdomadaire.
03Les rapports DMARC montrent-ils l'usurpation en temps réel ?
Non. Les fournisseurs envoient généralement les rapports agrégés une fois par jour : vous voyez la veille ou l'avant-veille. Seuls les destinataires qui envoient des rapports sont inclus, de sorte que le courrier usurpé vers un destinataire qui ne rapporte pas reste invisible. Considérez les rapports comme un détecteur de fumée pour ce qui a été rapporté, et appuyez-vous sur une politique reject pour faire échouer le courrier usurpé.
04Quels seuils d'alerte ont du sens pour DMARC ?
Ce sont des conseils, pas des normes. Alertez sur une nouvelle source qui envoie du courrier en échec une fois qu'elle dépasse un petit plancher comme 5 messages en échec par jour, sur un total quotidien d'échecs comme 10 messages pour les domaines à volume modeste, sur une source connue sous son taux de réussite habituel pendant deux jours, et sur un volume de rapports divisé par deux d'une semaine à l'autre. Évitez d'alerter sur de petites variations d'un seul destinataire.
La surveillance vous dit qui envoie en votre nom ; elle ne peut pas vous dire si la liste derrière ce courrier est saine. Commencez avec l'offre gratuite (tarifs) et dépensez les 100 crédits sur une vraie liste pour voir son risque de rebond. Un domaine bien surveillé a encore besoin d'une liste propre pour mériter la boîte de réception.
