Vérifier DMARC : lisez un enregistrement DMARC en langage clair
Un enregistrement DMARC est une ligne de texte qui décide du sort des e-mails qui se font passer pour vous. Saisissez un domaine pour le récupérer, voir chaque balise expliquée et savoir si la politique protège réellement le domaine ou se contente de surveiller.
Ce que DMARC ajoute à SPF et DKIM
Une politique DMARC se trouve dans un enregistrement TXT à l’adresse _dmarc.votredomaine.com. Quand un message arrive en prétendant venir de votre domaine, le destinataire vérifie SPF et DKIM. DMARC est validé si au moins l’un des deux réussit et que son domaine correspond à l’adresse From que voit le lecteur. Si aucun des deux ne réussit, le destinataire applique votre politique.
Ce dernier point, l’alignement, est la raison pour laquelle DMARC est plus que SPF et DKIM mis bout à bout. Il empêche un attaquant de réussir SPF avec son propre domaine tout en affichant le vôtre dans la ligne From.
Les trois politiques, et quand passer à la suivante
| Politique | Ce que font les destinataires des e-mails en échec | Quand l’utiliser |
|---|---|---|
| p=none | Les distribuer normalement et vous envoyer des rapports | Le point de départ : vous observez et apprenez |
| p=quarantine | Les traiter comme suspects, en général dans le dossier spam | Quand les rapports montrent que votre courrier légitime réussit |
| p=reject | Refuser le message | L’objectif pour les domaines qui envoient du courrier de façon fiable |
Toutes les balises DMARC en langage clair
| Balise | Signification |
|---|---|
| v=DMARC1 | La version. Elle doit venir en premier |
| p | Politique du domaine : none, quarantine ou reject |
| sp | Politique des sous-domaines. En son absence, les sous-domaines suivent p |
| pct | Le pourcentage des e-mails en échec auxquels la politique s’applique |
| rua | Où envoyer les rapports agrégés quotidiens, sous forme d’adresses mailto: |
| ruf | Où envoyer les rapports d’échec individuels. Peu de destinataires en envoient |
| adkim et aspf | Mode d’alignement pour DKIM et SPF : r (souple, par défaut) ou s (strict) |
| fo | Quels échecs doivent déclencher des rapports d’échec |
Déployer DMARC sans perdre de vrais e-mails
- Publiez v=DMARC1; p=none; rua=mailto:dmarc-reports@votredomaine.com. Rien ne change pour la distribution, et les rapports commencent à arriver.
- Lisez les rapports pendant quelques semaines. Ils listent chaque source qui envoie des e-mails au nom de votre domaine et indiquent si elle a réussi. Un service de rapports DMARC peut transformer le XML en quelque chose de lisible.
- Corrigez chaque expéditeur légitime qui échoue en l’ajoutant à SPF ou en activant pour lui la signature DKIM.
- Passez à p=quarantine, éventuellement avec pct=25 puis plus haut, tout en surveillant les problèmes.
- Passez à p=reject quand les rapports montrent que seuls les e-mails non autorisés échouent.