Enregistrement DMARC : comment bien l’ajouter

Qu’est-ce qu’un enregistrement DMARC ?

Gmail et Yahoo attendent désormais un enregistrement DMARC de toute personne qui envoie beaucoup d’e-mails. Sans lui, vos messages peuvent être rejetés ou finir en spam. Un enregistrement DMARC est un enregistrement TXT dans votre DNS qui dit aux destinataires quoi faire quand un message échoue à SPF et DKIM.

De plus, DMARC vérifie une chose que SPF seul ne vérifie pas : que le domaine visible dans le champ De correspond au domaine qui a passé SPF ou DKIM. Par conséquent, il empêche des inconnus d’envoyer des e-mails qui semblent venir de vous.

Comment lire un enregistrement DMARC

Un bon premier enregistrement DMARC ressemble à ceci :

v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com

• v=DMARC1 indique qu’il s’agit de DMARC.
• p=none observe seulement. Les e-mails arrivent comme avant, mais vous recevez des rapports.
• p=quarantine envoie en spam les e-mails qui échouent.
• p=reject refuse complètement les e-mails qui échouent.
• rua= est l’adresse qui reçoit les rapports quotidiens.

C’est pourquoi il faut commencer avec p=none. Rien ne change pour la livraison, et pourtant vous voyez chaque serveur qui envoie au nom de votre domaine.

Comment ajouter un enregistrement DMARC

D’abord, assurez-vous que SPF est en place, car DMARC s’appuie dessus. Ensuite, créez l’enregistrement avec notre générateur DMARC et SPF gratuit. Choisissez la politique none et saisissez une adresse pour les rapports.

Puis ajoutez un enregistrement TXT dans votre panneau DNS. L’erreur la plus courante concerne le nom. Il doit être _dmarc, et non @. Sur @, aucun destinataire ne le cherche jamais.

Enfin, interrogez-le pour vérifier qu’il est actif :

nslookup -type=txt _dmarc.example.com

Vous pouvez aussi le voir dans notre DNS Records Checker.

Lire les rapports DMARC

Après un ou deux jours, des destinataires comme Google et Microsoft envoient des rapports à l’adresse rua. Chacun est un petit fichier XML qui liste les serveurs ayant envoyé au nom de votre domaine et s’ils ont passé SPF et DKIM.

Cherchez les vrais services qui échouent, comme un outil de newsletter ou un support client. Corrigez-les d’abord, en général en les ajoutant à SPF ou en configurant DKIM. En revanche, les serveurs inconnus qui échouent sont souvent des usurpateurs, et c’est justement ce que DMARC bloquera plus tard.

De p=none à p=reject

Une fois que tous vos vrais services passent, durcissez la politique par paliers. Ne sautez donc pas directement à reject :

1. p=none pendant deux à quatre semaines, le temps de lire les rapports.
2. p=quarantine; pct=25 pour envoyer en spam un quart des e-mails qui échouent.
3. p=quarantine pour tous les e-mails qui échouent.
4. p=reject quand les rapports restent propres.

En bref, chaque palier est un petit changement que vous pouvez annuler le jour même si quelque chose casse.

Ce que signifie l’alignement DMARC

DMARC ne demande pas seulement si SPF ou DKIM ont réussi. Il demande aussi s’ils ont réussi pour le même domaine que le lecteur voit dans le champ De. Cette correspondance s’appelle l’alignement.

Alignement SPF

SPF vérifie l’adresse de retour cachée, pas le champ De. Donc, si un outil de newsletter envoie avec sa propre adresse de retour, SPF peut réussir alors que l’alignement échoue. Beaucoup d’outils permettent un domaine de retour personnalisé pour corriger cela.

Alignement DKIM

DKIM est aligné quand le domaine qui signe, la valeur d=, correspond à votre domaine De. C’est pourquoi il faut configurer DKIM avec votre propre domaine dans chaque service qui envoie pour vous.

Souple ou strict

Par défaut, l’alignement est souple : mail.example.com compte comme une correspondance pour example.com. Le mode strict exige une correspondance exacte. Ainsi, la plupart des sites devraient garder la valeur par défaut.

D’autres balises DMARC utiles

La plupart des enregistrements n’ont besoin que de v, p et rua. Cependant, quelques balises de plus servent une fois les bases en place.

• sp= fixe une politique à part pour les sous-domaines.
• pct= applique la politique à une partie seulement des e-mails qui échouent, par exemple 25 pour cent.
• ruf= demande des rapports détaillés sur chaque échec ; beaucoup de destinataires ne les envoient plus.
• adkim= et aspf= passent l’alignement DKIM ou SPF de souple (r) à strict (s).

En bref, ajoutez une balise seulement quand vous savez pourquoi. Car chaque balise en plus est une chose de plus qui peut être fausse.

DMARC pour les sous-domaines et domaines parqués

Un enregistrement DMARC sur le domaine principal couvre aussi ses sous-domaines, sauf si un sous-domaine a le sien. Donc un enregistrement sur _dmarc.example.com suffit en général.

Les domaines qui n’envoient jamais d’e-mail sont une cible facile pour les usurpateurs. Pour eux, publiez tout de suite une politique stricte, avec un enregistrement SPF qui n’autorise rien :

v=DMARC1; p=reject;

Comme aucun vrai e-mail ne part d’un domaine parqué, rien de bon n’est bloqué. Pendant ce temps, les faux e-mails qui utilisent son nom sont refusés.

Erreurs fréquentes

• Placer l’enregistrement sur @ au lieu de _dmarc.
• Commencer par p=reject, si bien qu’un service oublié perd tous ses e-mails.
• Ajouter DMARC avant que SPF ou DKIM ne fonctionnent.
• Utiliser une adresse de rapport sur un autre domaine sans l’enregistrement d’autorisation dont ce domaine a besoin.
• Ne jamais lire les rapports, donc rester à none pour toujours.

En bref : nom _dmarc, départ à none, lecture des rapports, puis durcissement. Pour plus de détails, voyez le guide Google sur DMARC.

Questions et réponses