Générateur d'enregistrement DMARC
Un enregistrement DMARC indique aux messageries comment traiter les e-mails usurpant votre nom de domaine. Répondez à trois questions pour créer le vôtre.
La partie après le @ dans votre adresse e-mail. Pour anna@exemple.fr, saisissez exemple.fr.
Les fournisseurs de messagerie envoient des bilans réguliers à cette adresse (rapports agrégés rua).
Votre enregistrement DMARC
Ajoutez ceci aux paramètres DNS de votre domaine sous forme d'un nouvel enregistrement TXT.
Prochaines étapes
- 1. Assurez-vous au préalable de la configuration de SPF et DKIM. Utilisez notre Vérificateur SPF et notre Guide SPF, DKIM et DMARC.
- 2. Connectez-vous à votre console DNS (OVH, Cloudflare, Gandi, etc.).
- 3. Créez un nouvel enregistrement TXT avec le nom et la valeur ci-dessus et sauvegardez. Conservez un unique enregistrement DMARC par domaine.
- Spécifiez une adresse de rapport à l'étape 2 pour pouvoir contrôler si vos e-mails légitimes passent les tests.
Comment publier votre enregistrement DMARC
- Remplissez les trois étapes ci-dessus. Si vous possédez déjà un enregistrement, collez-le sous "Vous avez déjà un enregistrement DMARC ?" pour le nettoyer.
- Chez votre hébergeur DNS, créez un enregistrement TXT avec l'hôte _dmarc. Certains hébergeurs exigent le nom complet, _dmarc.votredomaine.fr.
- Collez la valeur et sauvegardez. Assurez-vous qu'il s'agit du seul enregistrement DMARC du domaine ; la présence de deux enregistrements entraîne leur rejet.
- Patientez pendant la propagation DNS, puis surveillez votre boîte de rapports (adresse rua). Les fournisseurs envoient les rapports agrégés toutes les 24 heures.
Ce qui a changé pour DMARC en 2026
En mai 2026, la RFC 9989 a remplacé la RFC 7489 en intégrant DMARC au Standards Track officiel. Les enregistrements débutent toujours par v=DMARC1. Trois balises sont désormais obsolètes : pct, rf et ri. Deux nouvelles balises apparaissent : t (mode test) et np (politique pour les sous-domaines inexistants). Ce générateur supprime automatiquement les balises obsolètes. Consultez notre article qu'est-ce qu'un enregistrement DMARC ?.
Quelle politique DMARC choisir
Commencez par p=none avec une adresse rua. Vos flux d'e-mails ne sont pas modifiés et les rapports vous montrent qui envoie des messages sous votre nom de domaine. Le standard indique que l'authentification complète de toutes les sources légitimes peut prendre plusieurs mois. Pour les domaines actifs, maintenez p=none pendant au moins un mois avant d'évoluer.
L'option t=y facilite la transition finale. En publiant p=reject avec t=y, les serveurs appliquent une mise en quarantaine au lieu du rejet strict, vous permettant d'observer l'impact sans perdre de messages légitimes.
Avant d'activer p=reject, assurez-vous que tous vos e-mails sont signés avec DKIM. La norme stipule qu'un domaine en p=reject ne doit pas reposer uniquement sur SPF, car les transferts d'e-mails brisent SPF. Utilisez notre générateur DKIM pour créer vos clés.
Adresses de réception des rapports
rua est l'adresse recevant les rapports agrégés : des fichiers XML quotidiens récapitulant les adresses IP expéditrices et leurs statuts d'authentification. ruf est dédié aux rapports d'échec individuels, souvent omis par les messageries pour des raisons de confidentialité.
Si l'adresse de rapport se situe sur un domaine différent de celui que vous protégez (par exemple un service d'analyse), ce domaine tiers doit publier un enregistrement d'autorisation (consent record) selon la RFC 9990, généré ci-dessus.
Erreurs évitées par ce générateur
Le générateur place toujours v=DMARC1 en tête, ajoute automatiquement le préfixe mailto: requis pour rua et ruf, et exclut la balise obsolète pct en proposant t=y à la place. Il avertit également si l'alignement strict risque de bloquer vos sous-domaines.
La seule vérification externe nécessaire concerne votre DNS : publiez un enregistrement DMARC unique par domaine. Pour approfondir, lisez notre guide explicatif SPF, DKIM et DMARC.
Foire aux questions sur DMARC
v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr. Cette configuration n'altère pas la livraison de vos e-mails et active la réception des rapports d'audit. Choisissez "Surveillance seule" dans l'outil.
Non, la RFC 9989 a retiré la balise pct ainsi que rf et ri. Pour tester une politique de manière progressive, activez le mode test t=y au lieu d'un pourcentage.
Il demande aux serveurs destinataires d'appliquer une politique un cran inférieure : reject devient quarantine, et quarantine devient none. Les rapports continuent d'indiquer les échecs réels.
rua est indispensable pour obtenir la visibilité sur vos envois. ruf est facultatif car la plupart des grands fournisseurs de messagerie ne l'envoient plus pour préserver la vie privée.
Elle définit la politique pour les sous-domaines inexistants dans le DNS (ex. faussesfactures.votredomaine.fr). Sans cette balise, la politique sp s'applique.
Sous la forme d'un enregistrement DNS TXT au nom de _dmarc.votredomaine.fr. La plupart des consoles DNS ajoutent automatiquement votre domaine de base.
DMARC configuré ? Vérifiez maintenant votre liste d'e-mails.
1 000 crédits offerts, sans carte bancaire.