DMARC

DMARC (Domain-based Message Authentication, Reporting & Conformance) est une politique DNS qui s’appuie sur SPF et DKIM pour stopper l’usurpation de domaine. Elle utilise « l’alignement » pour vérifier que le domaine authentifié correspond à l’adresse From visible, indique aux serveurs de messagerie destinataires quoi faire lorsqu’un message échoue (none, quarantine ou reject) et vous envoie des rapports montrant qui envoie des e-mails au nom de votre domaine.

DMARC est la couche qui transforme SPF et DKIM, de simples vérifications isolées, en une politique applicable et surveillée. Sans elle, un destinataire peut confirmer qu’un message a réussi SPF, mais n’a toujours aucune instruction sur ce qu’il doit faire du courrier qui échoue — et aucun moyen de vous signaler que cela s’est produit.

Comment fonctionne DMARC

DMARC ne remplace pas SPF ni DKIM ; il se place au-dessus d’eux et ajoute un test crucial : l’alignement. Un message réussit DMARC si SPF ou DKIM authentifie le message et que le domaine authentifié s’aligne avec le domaine de l’en-tête From: visible que les destinataires voient réellement.

Ce « ou » a son importance. Un message n’a besoin que d’une des deux vérifications pour réussir et s’aligner :

• Alignement SPF — le message réussit SPF, et le domaine du Return-Path (expéditeur d’enveloppe) correspond au domaine From.
• Alignement DKIM — le message porte une signature DKIM valide, et le domaine signataire (d=) correspond au domaine From.

Si aucun des deux n’authentifie et ne s’aligne, le message échoue à DMARC et le destinataire applique la politique que vous avez publiée. Cette étape d’alignement est ce qui bloque réellement l’usurpation : les attaquants peuvent envoyer depuis une infrastructure qui réussit SPF ou DKIM pour leur propre domaine, mais ils ne peuvent pas l’aligner avec votre adresse From.

Les composantes de DMARC

DMARC se décompose en quelques éléments liés, chacun traité dans son propre guide :

• Ce qu’est DMARC — le concept, pourquoi il existe et où il se situe aux côtés de SPF et DKIM.
• L’enregistrement DMARC — l’enregistrement TXT que vous publiez sur _dmarc.yourdomain.com et les balises qu’il contient.
• La politique DMARC — la valeur p= qui définit l’application : none, quarantine ou reject.
• Comment configurer DMARC — un déploiement étape par étape, de la surveillance à l’application complète.

Un enregistrement d’application type ressemble à ceci :

v=DMARC1; p=reject; rua=mailto:dmarc@example.com; adkim=s; aspf=s

Ici, p=reject bloque le courrier en échec, rua définit l’adresse des rapports agrégés, et adkim=s / aspf=s exigent un alignement strict.

Pourquoi SPF est important pour DMARC

C’est ici que la plupart des déploiements DMARC se cassent silencieusement. DMARC dépend du fait que SPF (ou DKIM) réussisse et s’aligne à la fois — donc si votre enregistrement SPF est cassé, DMARC s’affaiblit sans aucun avertissement évident.

L’échec le plus courant est la limite de 10 recherches SPF. SPF plafonne à dix le nombre de recherches DNS qu’un enregistrement peut déclencher. Lorsque vous enchaînez des mécanismes include: pour votre fournisseur de messagerie, votre plateforme marketing, votre service d’assistance et votre CRM, vous pouvez dépasser ce plafond. Lorsque cela arrive, SPF renvoie PermError, et de nombreux destinataires traitent cela comme un échec SPF. Votre courrier légitime cesse soudainement de réussir l’alignement SPF, et DMARC repose désormais entièrement sur DKIM — sans aucune marge d’erreur.

Pour maintenir DMARC solide, gardez SPF en bonne santé :

• Passez votre domaine dans le Vérificateur SPF pour confirmer qu’il se résout proprement et reste sous les dix recherches.
• Revoyez votre syntaxe d’enregistrement SPF pour que chaque mécanisme et qualificateur soit correct.
• Laissez AutoSPF aplatir et maintenir votre enregistrement SPF automatiquement, afin qu’il reste valide, sous la limite de recherches et toujours aligné — ce qui maintient l’alignement DMARC quel que soit le nombre d’expéditeurs que vous ajoutez.

Un enregistrement SPF valide n’est pas optionnel pour DMARC. C’est l’un des deux fondements sur lesquels DMARC vérifie l’alignement.

DMARC dans une vue d’ensemble

DMARC est la couche d’application et de reporting d’un système en trois parties. Pour voir comment les pièces s’assemblent — SPF autorisant les expéditeurs, DKIM signant les messages et DMARC décidant de ce qui se passe en cas d’échec — commencez par le hub authentification des e-mails, puis comparez directement les rôles avec SPF vs DMARC et DKIM vs DMARC. Comprendre ces relations est le moyen le plus rapide de déployer DMARC sans bloquer accidentellement votre propre courrier.

Vérifiez votre DMARC

Vous ne savez pas si votre enregistrement DMARC est publié ou réglé sur la bonne politique ? Passez votre domaine dans le vérificateur DMARC gratuit pour voir votre enregistrement, votre politique et vos paramètres d’alignement actuels en quelques secondes.

Foire aux questions

Qu’est-ce que DMARC ?

DMARC est une politique d’authentification des e-mails basée sur le DNS qui s’appuie sur SPF et DKIM. Publiée sous forme d’enregistrement TXT, elle utilise l’alignement pour confirmer que le domaine authentifié correspond à l’adresse From visible, indique aux destinataires s’il faut autoriser, mettre en quarantaine ou rejeter le courrier en échec, et envoie des rapports agrégés pour que vous puissiez voir qui envoie des e-mails au nom de votre domaine.

Comment DMARC fonctionne-t-il avec SPF et DKIM ?

DMARC vérifie les résultats de SPF et DKIM, puis ajoute un test d’alignement. Un message réussit DMARC si SPF ou DKIM l’authentifie et que ce domaine authentifié s’aligne avec le domaine From que voient les destinataires. Une seule des deux vérifications doit réussir et s’aligner, mais au moins une doit le faire — sinon la politique que vous avez publiée s’applique.

DMARC est-il obligatoire ?

DMARC n’est pas universellement imposé, mais les grands fournisseurs de messagerie comme Google et Yahoo l’exigent désormais pour les expéditeurs en masse, et de nombreux cadres de sécurité l’attendent. Même là où il est optionnel, la publication de DMARC est fortement recommandée : c’est le seul mécanisme qui stoppe l’usurpation de votre domaine et vous signale les expéditeurs non autorisés.

Que signifie p=reject ?

p=reject est la politique DMARC la plus stricte. Elle demande aux serveurs destinataires de refuser tout message qui échoue à l’authentification et à l’alignement DMARC, de sorte que le courrier usurpé est bloqué d’emblée plutôt que livré dans le spam. Avant de passer à p=reject, confirmez que tous vos expéditeurs légitimes réussissent l’alignement SPF ou DKIM, sous peine de risquer de bloquer votre propre courrier valide.