Comment configurer DMARC : un déploiement sûr, étape par étape

Configurer DMARC, c'est un enregistrement DNS et une discipline : publiez-le d'abord en mode surveillance, lisez les rapports qu'il vous renvoie, corrigez tout ce qui ne s'authentifie pas, et ce n'est qu'ensuite que vous demandez aux destinataires d'appliquer la politique. Foncez directement vers l'application et vous risquez d'envoyer vos propres messages légitimes dans les spams. Voici la manière sûre et ordonnée de procéder.

La réponse courte#

DMARC réside dans un unique enregistrement TXT sur _dmarc.yourdomain.com. La valeur commence par v=DMARC1, définit une politique (p=none, p=quarantine ou p=reject), et pointe vers une boîte aux lettres qui collecte les rapports agrégés (rua=). Le déploiement correct est toujours le même : commencez en p=none pour observer sans rien casser, servez-vous des rapports pour confirmer que chaque flux de messages légitime passe SPF ou DKIM en alignement, puis relevez la politique vers quarantine et enfin reject. Ce guide est la configuration DMARC pas à pas — pour comprendre comment SPF, DKIM et DMARC s'articulent conceptuellement, consultez l'explication de SPF, DKIM et DMARC.

Ce qu'est un enregistrement DMARC et où il réside#

Un enregistrement DMARC est une entrée DNS en texte brut qui indique aux serveurs de messagerie destinataires deux choses : quoi faire des messages qui prétendent provenir de votre domaine mais échouent à l'authentification, et où vous envoyer des rapports à ce sujet. Ce n'est pas de la magie — c'est un unique enregistrement TXT que vous publiez une fois et que vous ajustez ensuite au fil du temps.

L'emplacement est fixe et non négociable : l'enregistrement doit se trouver au nom d'hôte _dmarc sous votre domaine. Ainsi, pour example.com, le nom complet de l'enregistrement est _dmarc.example.com. Si votre hébergeur DNS ne vous demande que le champ « nom » ou « hôte », vous saisissez généralement _dmarc et il ajoute le domaine pour vous.

Un enregistrement de départ minimal et valide ressemble à ceci :

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

C'est réellement tout ce dont vous avez besoin pour commencer. Il n'applique encore rien — p=none signifie « ne prendre aucune mesure » — mais il active la génération de rapports qui rend possible tout ce qui suit.

L'anatomie d'un enregistrement DMARC#

Chaque enregistrement DMARC est une liste de balises séparées par des points-virgules. Seules deux sont obligatoires (v et p) ; les autres sont facultatives mais utiles. Voici ce que fait chacune, en termes simples.

Vous verrez aussi une balise ruf= dans certains enregistrements — elle demande des rapports forensiques (par message). La plupart des fournisseurs ne les envoient plus pour des raisons de confidentialité, vous pouvez donc l'omettre sans risque et vous appuyer sur les rapports agrégés rua.

Comment fonctionne l'alignement DMARC avec SPF et DKIM#

C'est le concept que la plupart des configurations comprennent mal, il vaut donc la peine de ralentir. Passer SPF ou DKIM ne suffit pas à lui seul — DMARC exige aussi un alignement, c'est-à-dire que le domaine qui s'est authentifié doit correspondre au domaine que vos destinataires voient réellement dans l'adresse « From ».

Voici pourquoi c'est important. Un spammeur peut envoyer un message qui passe SPF pour son propre domaine tout en falsifiant votre domaine dans la ligne « From » visible. SPF seul considérerait cela comme une réussite, car SPF vérifie l'expéditeur d'enveloppe caché plutôt que l'adresse que lit votre destinataire. DMARC comble cette faille en exigeant que le domaine authentifié et le domaine « From » concordent. Un message satisfait à DMARC lorsque l'une de ces conditions est vraie :

• Alignement SPF — le message passe SPF et le domaine vérifié par SPF correspond au domaine « From ».
• Alignement DKIM — le message porte une signature DKIM valide et le domaine signataire correspond au domaine « From ».

Une seule des deux doit s'aligner, mais au moins une le doit. L'alignement souple (par défaut) accepte un domaine organisationnel correspondant, si bien que mail.example.com s'aligne avec example.com ; l'alignement strict exige une correspondance exacte. Commencez par le souple, sauf raison précise de ne pas le faire — l'alignement strict casse davantage de messages légitimes et ajoute rarement une protection réelle.

Le déploiement sûr, étape par étape#

DMARC est cette rare pièce d'infrastructure de messagerie où l'ordre des opérations importe plus que l'enregistrement lui-même. Suivez-le dans l'ordre.

1. Publiez p=none avec une adresse de rapport. Créez l'enregistrement TXT sur _dmarc.yourdomain.com avec v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Cela ne change rien à la manière dont vos messages sont traités — cela active simplement les rapports agrégés quotidiens. Laissez-le en l'état au moins deux ou trois semaines afin de couvrir un cycle d'envoi complet.

2. Lisez les rapports agrégés. Les fournisseurs envoient des rapports XML à votre adresse rua une fois par jour. Chaque rapport liste les adresses IP d'envoi qui ont utilisé votre domaine, combien de messages chacune a envoyés, et si elles ont passé SPF, DKIM et l'alignement DMARC. Le XML brut est difficile à lire d'un coup d'œil, aussi la plupart des gens l'acheminent vers un analyseur de rapports DMARC ou un tableau de bord de surveillance qui le transforme en un tableau lisible. Ce que vous cherchez : chaque source légitime de vos messages — votre ESP, votre CRM, votre fournisseur transactionnel, votre propre serveur de messagerie — affichant une réussite DMARC avec un alignement SPF ou DKIM. Tout ce qui échoue est soit un flux que vous devez corriger, soit une usurpation que vous êtes content d'intercepter. Les rapports sont aussi la façon dont vous découvrez des services d'envoi que vous aviez complètement oubliés, ce qui est fréquent dans toute organisation existant depuis quelques années.

3. Corrigez l'alignement pour chaque flux légitime. C'est le vrai travail. Pour chaque service d'envoi qui échoue, assurez-vous qu'il s'authentifie en tant que votre domaine : ajoutez ses serveurs à votre enregistrement SPF, configurez la signature DKIM avec votre domaine (et non celui par défaut du fournisseur), et paramétrez un domaine « From » ou un return-path personnalisé là où le fournisseur l'autorise. L'alignement DKIM est généralement celui à privilégier, car une signature DKIM voyage avec le message et survit à la redirection, tandis que l'alignement SPF se casse dès qu'un message est redirigé. La plupart des plateformes de messagerie documentent précisément les enregistrements DNS à ajouter pour un domaine de signature personnalisé — c'est là que passe l'essentiel du temps de configuration. Continuez d'itérer jusqu'à ce que les rapports montrent tous vos messages authentiques en réussite.

4. Passez à p=quarantine. Une fois les rapports propres, changez la politique pour que les messages en échec aillent dans les spams plutôt que dans la boîte de réception. Vous pouvez y aller en douceur avec pct= — p=quarantine; pct=25 applique d'abord la politique à un quart des messages en échec — puis montez vers 100 à mesure que vous gagnez en confiance.

5. Passez à p=reject. La destination. p=reject indique aux destinataires de refuser purement et simplement les messages en échec, ce qui est le réglage qui stoppe réellement l'usurpation et celui que récompensent les grands fournisseurs. N'y arrivez qu'après que les rapports sont restés propres en quarantine pendant un certain temps. C'est aussi la politique qui satisfait pleinement les exigences des expéditeurs de Google et Yahoo pour les expéditeurs en masse.

Pourquoi DMARC est désormais obligatoire#

DMARC était autrefois une bonne pratique avancée. Depuis 2024, c'est un point de passage obligé. Selon les exigences des expéditeurs de Google et Yahoo, les expéditeurs en masse — quiconque envoie plus de 5 000 messages par jour à Gmail — doivent publier un enregistrement DMARC avec au moins une politique p=none, en plus de SPF, DKIM, de l'alignement et de la désinscription en un clic. L'exigence est une politique publiée, pas nécessairement une application, mais rester en p=none pour toujours signifie que vous cochez la case de conformité tout en laissant votre domaine grand ouvert à l'usurpation. Progresser vers reject est ce qui protège votre réputation d'expéditeur et empêche les usurpateurs de la brûler à votre place.

Pièges courants#

Une poignée d'erreurs explique la plupart des configurations DMARC défaillantes :

• Sauter directement à p=reject. Sans la phase de surveillance, vous découvrirez les flux qui ne s'authentifient pas de la pire façon — en faisant rebondir vos propres factures et newsletters.
• Aucune adresse rua. Un enregistrement sans adresse de rapport avance à l'aveugle. Vous ne pouvez pas corriger ce que vous ne voyez pas ; incluez toujours rua.
• Oublier un service d'envoi. Les plateformes marketing, les outils de support, les systèmes de facturation et les invitations de calendrier envoient tous « en votre nom ». Chacun a besoin que SPF et DKIM soient configurés pour votre domaine, sinon il échouera à DMARC une fois que vous appliquerez la politique.
• Utiliser l'alignement strict par défaut. Le mode strict casse les sous-domaines et de nombreuses configurations d'ESP pour un bénéfice minime. L'alignement souple est le bon réglage par défaut.
• Plusieurs enregistrements DMARC. Un seul enregistrement TXT peut exister sur _dmarc — un second invalide les deux. Il en va de même pour SPF.
• Prendre DMARC pour de la délivrabilité. L'authentification prouve qui vous êtes ; elle ne fait pas de vous un bon expéditeur. Un message parfaitement authentifié provenant d'un domaine qui écrit à des adresses mortes atterrit quand même dans les spams, ce qui est l'une des principales raisons pour lesquelles les e-mails légitimes finissent en spam.

Foire aux questions#

Où exactement dois-je placer un enregistrement DMARC ?#

Il se place dans votre DNS sous la forme d'un enregistrement TXT au nom d'hôte _dmarc.yourdomain.com. Dans la plupart des panneaux de configuration DNS, vous créez un nouvel enregistrement TXT, vous renseignez le champ nom ou hôte avec _dmarc (le panneau ajoute généralement votre domaine automatiquement), puis vous collez la valeur — par exemple v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Il n'y a jamais qu'un seul enregistrement DMARC par domaine ; un second invalide les deux.

Que signifie DMARC p=none, et est-ce suffisant ?#

p=none indique aux serveurs de réception de ne prendre aucune mesure sur les messages qui échouent à l'authentification et de simplement vous envoyer des rapports. C'est le point de départ correct et sûr, car il vous permet de surveiller sans mettre en péril vos messages légitimes — mais il n'offre à lui seul aucune protection contre l'usurpation. Il satisfait à la lettre l'exigence de Google et Yahoo d'une politique publiée, mais vous devez le considérer comme la première étape, et non comme la ligne d'arrivée, et progresser vers quarantine puis reject.

Combien de temps dois-je attendre avant de passer de p=none à l'application de la politique ?#

Assez longtemps pour couvrir un cycle d'envoi complet et confirmer que les rapports sont propres — généralement quelques semaines, parfois plus si vous avez de nombreux services d'envoi ou des flux peu fréquents comme des relevés mensuels. Ce délai n'est pas arbitraire : vous observez les rapports agrégés jusqu'à ce que chaque source légitime affiche une réussite DMARC avec un alignement SPF ou DKIM. Ne montez d'un cran que lorsque plus aucun message légitime n'échoue.

Quelle est la différence entre DMARC et SPF ou DKIM ?#

SPF liste les serveurs autorisés à envoyer pour votre domaine, et DKIM signe cryptographiquement chaque message afin qu'un destinataire puisse confirmer qu'il n'a pas été falsifié. DMARC se place au-dessus des deux : il les relie à l'adresse « From » visible via l'alignement, indique aux destinataires quoi faire lorsqu'un message échoue, et vous renvoie des rapports. SPF et DKIM assurent l'authentification ; DMARC définit la politique et rend le résultat applicable.

DMARC prouve que vos messages sont réellement les vôtres, mais l'authentification n'est que le ticket d'entrée vers la boîte de réception. Le plan gratuit exécute l'ensemble du pipeline de vérification afin que vous éliminiez les adresses mortes et les pièges à spam de votre liste avant qu'ils ne provoquent des rebonds — car une identité de confiance ne mérite un placement que lorsque la liste qui la sous-tend est propre.