Vérificateur DMARC

Vérifier la politique, les rapports et l'alignement DMARC

Vérifie SPF, DMARC, DKIM et le blacklistage

Guide

Un vérificateur DMARC lit l'enregistrement TXT à _dmarc.votredomaine.com et indique la politique que les serveurs de messagerie destinataires appliqueront aux emails qui ne passent ni SPF ni DKIM.

Ce que fait réellement DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance, RFC 7489) vient compléter SPF et DKIM. Il ne remplace ni l'un ni l'autre : il indique aux serveurs destinataires quoi faire quand un message ne passe pas ces contrôles, et donne au propriétaire du domaine un moyen de recevoir des rapports sur le courrier qui prétend provenir de son domaine.

L'enregistrement se trouve à un emplacement fixe : un TXT sur _dmarc.exemple.fr. Un enregistrement minimal ressemble à ceci :

  • v=DMARC1 - le tag de version, toujours exactement cette valeur
  • p=none - la politique appliquée au domaine racine
  • rua=mailto:dmarc@exemple.fr - l'adresse qui reçoit les rapports agrégés

Le tag de politique (p=)

Le tag de politique est ce qui change concrètement le sort des emails usurpés. Il prend une valeur parmi trois, et la différence entre elles constitue tout l'intérêt de déployer DMARC.

PolitiqueEffet sur les emails en échecUsage typique
p=noneAucun effet sur la remise, le courrier circule comme sans DMARCPhase d'observation, avant application
p=quarantineLes destinataires doivent placer le courrier en échec dans les indésirablesEn cours de déploiement, une fois les rapports propres
p=rejectLes destinataires doivent refuser le message purement et simplementApplication totale, après une période d'observation

Les rapports : rua et ruf

Les rapports DMARC permettent de déployer une politique stricte sans naviguer à l'aveugle. Deux types de rapports existent, et la plupart des domaines n'ont besoin que de l'un des deux.

  • rua (rapports agrégés) - des synthèses XML quotidiennes de chaque fournisseur de messagerie destinataire : quels serveurs ont envoyé du courrier au nom de votre domaine, et s'ils passaient l'alignement SPF/DKIM. C'est le rapport qui compte réellement pour le suivi au quotidien.
  • ruf (rapports forensiques) - des rapports d'échec par message, contenant des en-têtes et parfois le contenu du message. Le support s'est effondré chez les grands fournisseurs pour des raisons de confidentialité, donc l'absence de tag ruf est normale et n'a rien d'un problème à corriger.
  • Un domaine en p=quarantine ou p=reject sans adresse rua navigue à l'aveugle : du courrier légitime peut commencer à échouer sans aucune visibilité sur la cause.

L'alignement : aspf et adkim

Un message passe DMARC s'il passe SPF ou DKIM et que le domaine vérifié par ce contrôle s'aligne avec l'adresse From: visible. Le mode d'alignement détermine à quel point cette correspondance doit être stricte.

  • r (relâché, le défaut) - une correspondance de sous-domaine compte. mail.exemple.fr s'aligne avec exemple.fr.
  • s (strict) - les domaines doivent correspondre exactement. mail.exemple.fr ne s'aligne pas avec exemple.fr sous adkim=s.
  • Se configure avec aspf=s et adkim=s indépendamment ; la plupart des domaines gardent l'alignement relâché, qui tolère une infrastructure d'envoi basée sur des sous-domaines sans configuration supplémentaire.

Lire le résultat du vérificateur

Cet outil regroupe ses résultats sous une catégorie DMARC, aux côtés des contrôles SPF, DKIM, MX et listes noires effectués dans la même passe. Chaque résultat porte un statut :

  • DMARC Record Found (ou absent) - indique si _dmarc.exemple.fr résout vers un TXT commençant par v=DMARC1
  • DMARC Version - signale toute valeur v= différente de DMARC1
  • DMARC Syntax - confirme que les paires tag=valeur s'analysent correctement
  • DMARC Policy - rapporte la valeur p= trouvée ; none est noté en avertissement, quarantine et reject en validé
  • DMARC Reporting - avertit si ni rua ni ruf n'est présent
  • DMARC Alignment - rapporte le mode aspf/adkim effectif
  • DMARC Percentage - signale une valeur pct= inférieure à 100, donc une politique qui ne s'applique qu'à une fraction du courrier

Un déploiement progressif, exemple concret

Passer directement à p=reject est la façon la plus courante de casser du courrier légitime. La méthode classique traverse trois enregistrements successifs, en surveillant les rapports agrégés à chaque étape - un rythme adapté aux TPE/PME françaises qui gèrent souvent plusieurs expéditeurs tiers (facturation, CRM, newsletter) sans équipe IT dédiée :

  • Étape 1 - v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr (observation seule, corriger tout expéditeur légitime qui apparaît en échec)
  • Étape 2 - v=DMARC1; p=quarantine; pct=50; rua=mailto:dmarc@exemple.fr (application partielle, la moitié du courrier en échec concerné)
  • Étape 3 - v=DMARC1; p=reject; rua=mailto:dmarc@exemple.fr; ruf=mailto:dmarc-forensic@exemple.fr (application totale)

Questions fréquentes

Que se passe-t-il si un domaine n'a aucun enregistrement DMARC ?

Les serveurs destinataires reviennent à leur propre gestion par défaut des échecs SPF/DKIM, qui varie selon le fournisseur, et le propriétaire du domaine n'a aucune visibilité sur les tentatives d'usurpation. Un domaine qui envoie du courrier depuis un ensemble fixe de serveurs n'a rien à perdre à publier au moins un enregistrement p=none avec un rua de suivi.

Un sous-domaine peut-il avoir une politique DMARC différente du domaine parent ?

Oui. Un enregistrement publié sur _dmarc.mail.exemple.fr remplace la politique organisationnelle de _dmarc.exemple.fr pour ce sous-domaine. En l'absence d'enregistrement spécifique, le tag sp= (ou le tag p= principal si sp= est absent) de l'enregistrement organisationnel s'applique.

Est-ce que DMARC bloque le spam ?

Non. DMARC n'agit que sur le courrier qui échoue l'alignement SPF ou DKIM tout en prétendant provenir de votre domaine. Le spam envoyé depuis des domaines sans rapport, ou un courrier qui passe légitimement les deux contrôles, n'est absolument pas concerné par DMARC - c'est le rôle d'un filtre anti-spam, pas de DMARC.

Pourquoi mon rapport agrégé montre-t-il un service légitime en échec DMARC ?

Cela signifie généralement que ce service envoie du courrier via sa propre infrastructure en utilisant votre domaine dans l'adresse From:, sans être couvert par votre enregistrement SPF ni signer avec un DKIM aligné. Les plateformes marketing, outils de support et CRM sont les cas les plus fréquents - chacun nécessite son propre include SPF ou sa configuration DKIM.

Faut-il attendre un délai minimal entre les étapes de déploiement DMARC ?

La RFC 7489 ne fixe aucun intervalle. En pratique, une à deux semaines par étape suffit pour capter un cycle complet de rapports des grands fournisseurs de messagerie et repérer un expéditeur légitime encore en échec avant d'augmenter pct= ou de durcir la politique.

Quelle est la différence entre le tag pct et le tag de politique ?

p= définit quelle action s'applique (none, quarantine ou reject) ; pct= définit sur quelle proportion du courrier en échec cette action s'applique, en pourcentage de 1 à 100. pct=100 (ou l'absence du tag pct, 100 étant la valeur par défaut) applique la politique à tout le courrier en échec ; une valeur plus basse échelonne l'application pendant le déploiement.

Outils liés