DMARC (Domain-based Message Authentication, Reporting and Conformance) est une politique DNS qui indique aux serveurs destinataires comment traiter les e-mails prétendant provenir de votre domaine lorsqu’ils échouent à l’authentification — les acheminer, les mettre en quarantaine ou les rejeter — et où envoyer les rapports correspondants.
Fonctionnement
Vous publiez un enregistrement TXT à l’adresse _dmarc.yourdomain. Un message est considéré comme conforme à DMARC lorsque les vérifications SPF ou DKIM sont réussies et que le domaine validé correspond au domaine figurant dans l’adresse « De » visible. Cette vérification de correspondance est la partie que les protocoles SPF et DKIM ne peuvent pas assurer à eux seuls, et c’est ce qui empêche définitivement quiconque d’utiliser votre domaine dans la ligne « De ». La norme applicable est la RFC 7489.
Les trois politiques
p=none: surveillance uniquement. Rien n’est bloqué ; vous recevez des rapports indiquant qui envoie des messages en se faisant passer pour votre domaine. C’est le bon point de départ.p=quarantine: les e-mails qui échouent au contrôle sont traités comme suspects et généralement acheminés vers le dossier « spam ».p=reject— les e-mails qui échouent sont purement et simplement refusés. C’est l’objectif visé.
La balise « rua= » désigne une adresse pour les rapports agrégés quotidiens. Ces rapports vous permettent de découvrir l’outil de newsletter oublié qui envoie des e-mails en utilisant votre domaine avant qu’une politique stricte ne commence à rejeter ses e-mails.
Comment vérifier votre configuration
dig +short TXT _dmarc.yourdomain.comDMARC chez Mailotte
mailotte.com publie « p=reject », la politique la plus stricte : les e-mails usurpant l’identité de mailotte.com sont refusés, et non mis en quarantaine. Lorsque vous connectez votre propre domaine, Mailotte vous invite à commencer par la valeur « p=none » avec les rapports activés — la surveillance passe en premier, afin qu’aucun message dont vous dépendez ne soit rejeté pendant que vous identifiez les autres sources d’envoi sous votre domaine. Passez à la mise en quarantaine, puis au rejet une fois que les rapports sont sereins.
Questions
Dois-je commencer par « p=reject » ?
Uniquement si vous êtes certain que tous les services qui envoient des e-mails sous votre domaine sont couverts par SPF ou DKIM. Sinon, commencez par « p=none », consultez les rapports, corrigez ce qu’ils indiquent, puis renforcez la politique.
Qu’est-ce que l’alignement DMARC ?
Il s’agit de l’exigence selon laquelle le domaine ayant satisfait aux critères SPF ou DKIM doit correspondre au domaine figurant dans l’adresse « De » visible. C’est ce qui empêche un message signé par le domaine d’un escroc de passer pour le vôtre.
Ai-je besoin de DMARC si je dispose déjà de SPF et de DKIM ?
Oui. Sans cela, rien ne relie ces vérifications à l’adresse « De » que les destinataires lisent réellement, et ces derniers ne disposent d’aucune instruction concernant les e-mails qui échouent aux contrôles.
Termes associés
- SPF — Sender Policy Framework
- DKIM — DomainKeys Identified Mail
- MTA-STS — SMTP MTA Strict Transport Security
- Tous les termes