Authentification et DNS
DMARC
DMARC est une règle que vous publiez dans le DNS de votre domaine. Elle dit aux serveurs de réception quoi faire d’un e-mail qui prétend venir de votre domaine mais échoue aux contrôles SPF et DKIM. Elle indique aussi où vous envoyer des rapports.
Qu’est-ce que DMARC ?
DMARC signifie Domain-based Message Authentication, Reporting and Conformance. C’est une règle que le propriétaire d’un domaine publie dans son DNS. Le domaine est la partie de l’adresse après le @. Le DNS est l’annuaire public d’Internet qui relie les noms de domaine aux serveurs.
La règle DMARC répond à une question simple. Que doit faire un serveur de réception avec un e-mail qui dit venir de votre domaine, mais qui ne le prouve pas ? DMARC lui donne trois choix : ne rien faire, mettre l’e-mail dans le spam ou le refuser.
DMARC ne fait pas ses propres contrôles. Il utilise les résultats de deux autres contrôles, SPF et DKIM. SPF vérifie quel serveur a envoyé l’e-mail. DKIM vérifie une signature numérique dans l’e-mail.
Un exemple : une fausse facture
Une entreprise utilise le domaine exemple.com. Un fraudeur envoie un e-mail à ses clients. L’expéditeur affiché est billing@exemple.com. L’objet est "Facture en retard, payez aujourd’hui". Le fraudeur envoie cet e-mail depuis son propre serveur.
- Gmail reçoit l’e-mail. Le champ De affiche exemple.com.
- Gmail fait le contrôle SPF. Le serveur du fraudeur n’est pas dans la liste SPF de exemple.com. SPF échoue.
- Gmail fait le contrôle DKIM. Le fraudeur n’a pas la clé privée de exemple.com. Il n’y a pas de signature valide. DKIM échoue.
- Gmail lit la règle DMARC de exemple.com. Elle dit
p=reject. - Gmail refuse l’e-mail. Le client ne le voit jamais.
Sans règle DMARC, Gmail aurait dû décider seul. L’e-mail aurait pu arriver dans la boîte de réception.
Comment DMARC décide : l’alignement
Pour passer DMARC, il faut que SPF ou DKIM passe. Il faut aussi que ce contrôle concerne le même domaine que celui affiché dans le champ De. Cette correspondance s’appelle l’alignement DMARC.
Un seul des deux contrôles suffit. Par exemple, SPF peut passer pour le domaine de votre service d’envoi, pas pour le vôtre. Si DKIM passe avec d=exemple.com, l’e-mail passe quand même DMARC.
Les trois politiques DMARC
La politique se règle avec la partie p= de l’enregistrement.
| Politique | Ce qui arrive à un e-mail qui échoue | Quand l’utiliser |
|---|---|---|
p=none | Il est livré normalement. Vous recevez des rapports. | Au début, pour observer |
p=quarantine | Il va dans le dossier spam. | Quand tous vos vrais envois passent |
p=reject | Il est refusé. | Quand vous êtes sûr que rien de légitime n’échoue |
Votre politique est une demande, pas un ordre. Les fournisseurs de messagerie utilisent aussi leurs propres filtres et leurs données de réputation.
Un enregistrement DMARC simple
L’enregistrement DMARC est un enregistrement DNS TXT. Un enregistrement TXT est une ligne de texte publiée dans le DNS. L’enregistrement DMARC se place à l’adresse _dmarc.exemple.com. Voici un enregistrement de départ :
v=DMARC1; p=none; rua=mailto:reports@exemple.comv=DMARC1indique qu’il s’agit d’un enregistrement DMARC. Cette partie doit venir en premier.p=noneest la politique. Ici, les serveurs ne changent rien à la livraison.rua=mailto:reports@exemple.comest l’adresse qui reçoit les rapports. Les serveurs de réception y envoient en général un fichier par jour. Il liste les serveurs qui ont envoyé des e-mails avec votre domaine.
Publiez un seul enregistrement DMARC par domaine. S’il y en a deux, les serveurs les ignorent tous les deux.
Par où commencer avec DMARC
Avancez par étapes, pour ne bloquer aucun de vos vrais e-mails.
- Publiez un enregistrement avec
p=noneet une adresserua. - Lisez les rapports pendant quelques semaines. Repérez chaque service qui envoie avec votre domaine : newsletter, facturation, support.
- Configurez SPF et DKIM pour chacun de ces services.
- Passez à
p=quarantinequand tous vos envois passent. - Passez à
p=rejectquand la livraison reste stable.
Notre générateur DMARC (en anglais) crée l’enregistrement pour chaque étape. Le guide qu’est-ce qu’un enregistrement DMARC explique chaque partie de l’enregistrement et les rapports.
Qui exige DMARC
Google exige un enregistrement DMARC des expéditeurs qui envoient 5 000 e-mails ou plus par jour vers Gmail. Microsoft fait de même depuis le 5 mai 2025 pour Outlook.com, Hotmail et Live, au même seuil. Pour ces deux fournisseurs, p=none suffit pour respecter la règle. Mais p=none ne bloque aucun faux e-mail.
La norme actuelle de DMARC est la RFC 9989, publiée en mai 2026. Elle remplace la RFC 7489. Les enregistrements qui commencent par v=DMARC1 continuent de fonctionner.
DMARC et vérification d’email
DMARC et la vérification protègent deux choses différentes. DMARC empêche d’autres personnes d’envoyer des e-mails avec votre domaine. La vérification d’email contrôle que les adresses de votre liste existent. Un domaine avec p=reject peut quand même avoir beaucoup de hard bounces si la liste contient des adresses mortes. Vous pouvez vérifier une adresse mail une par une, ou toute une liste avec la vérification d’email en masse.
Termes liés
- Enregistrement SPFUn enregistrement SPF est une ligne publiée dans le DNS de votre domaine, qui liste les serveurs autorisés à envoyer des e-mails en son nom. Le serveur qui reçoit un e-mail le lit pour vérifier que l'e-mail vient bien d'un de vos serveurs.
- DKIMDKIM est une signature numérique ajoutée à chaque e-mail que vous envoyez. Elle prouve que l’e-mail vient bien de votre domaine et que personne ne l’a modifié en route. Le serveur qui reçoit l’e-mail vérifie cette signature avec une clé publiée dans votre DNS.
- Email spoofingL’email spoofing, ou usurpation d’adresse mail, consiste à envoyer un e-mail avec une fausse adresse d’expéditeur. L’e-mail semble venir de quelqu’un d’autre, par exemple votre banque ou votre directeur. Le but est souvent de vous faire payer ou de voler un mot de passe.
- BIMIBIMI est une norme e-mail qui affiche le logo de votre marque à côté de vos e-mails, dans les boîtes de réception qui la prennent en charge. Elle ne fonctionne que si votre domaine est déjà protégé par DMARC.
- Enregistrement TXT DNSUn enregistrement TXT DNS est une ligne de texte enregistrée dans les réglages de votre domaine. Les serveurs de messagerie lisent les enregistrements TXT pour contrôler SPF, DKIM et DMARC. D’autres services les lisent pour confirmer que le domaine vous appartient.