Guide
Qu’est-ce que DMARC ?
DMARC protège votre domaine contre le spoofing et le phishing : il indique aux serveurs de réception comment traiter les e-mails qui se font passer pour votre domaine. Ce guide explique son fonctionnement — et comment le renforcer en toute sécurité.
DMARC (Domain-based Message Authentication, Reporting & Conformance) s’appuie sur deux techniques existantes — SPF et DKIM — et ajoute deux choses : une politique (que doit faire un destinataire d’un e-mail suspect ?) et des rapports (qui envoie en votre nom ?). Sans DMARC, n’importe qui peut envoyer des e-mails qui semblent venir de votre domaine.
Les trois enregistrements DNS
L’authentification e-mail repose sur trois enregistrements TXT dans votre DNS. DMARC relie les deux premiers.
Une liste, dans votre DNS, des serveurs autorisés à envoyer au nom de votre domaine. Le destinataire vérifie que le serveur émetteur figure dans la liste.
Une signature cryptographique dans l’en-tête. Le destinataire la vérifie avec une clé publique dans votre DNS — preuve que l’e-mail n’a pas été altéré.
Indique aux destinataires quoi faire si ni SPF ni DKIM ne s’alignent avec l’expéditeur visible, et où envoyer les rapports (rua). Vous voyez ainsi qui envoie en votre nom.
Comment DMARC fonctionne : l’échelle de politique
DMARC évalue si SPF ou DKIM « s’aligne » avec le domaine que le destinataire voit dans le champ De. En cas d’échec, votre politique décide de la suite. On monte en trois étapes — jamais directement vers reject.
Mode surveillance. Rien n’est bloqué ; vous collectez des rapports pour voir qui envoie en votre nom. Le point de départ sûr.
Les e-mails suspects vont en spam/quarantaine. À activer uniquement quand toutes vos sources légitimes s’alignent correctement.
Les e-mails suspects sont totalement refusés. Protection complète — l’objectif final, tant qu’aucune source légitime n’échoue.
Pourquoi « 94 % de réussite » ne dit rien
La plupart des outils affichent un seul pourcentage. Mais un domaine à « 94 % » peut être aussi bien sûr que dangereux : ces 6 % en échec sont soit du spoofing à bloquer, soit un expéditeur légitime sans DKIM que p=reject casserait. Même chiffre, conseil opposé.
La seule bonne approche est donc de raisonner par source d’envoi : chaque source reçoit son propre statut (approuvée, en attente, bloquée). Vous êtes prêt à renforcer uniquement quand chaque source approuvée s’aligne de façon fiable — jamais sur un total.
C’est exactement ce que fait DMARC-IT : il classe chaque source et vous dit précisément quand il est sûr de passer à l’étape suivante, avec les blocages à résoudre au préalable.
Questions fréquentes
Ai-je besoin de SPF et DKIM pour DMARC ?
Oui. DMARC s’appuie dessus : un e-mail réussit si SPF ou DKIM s’aligne avec l’expéditeur visible. Sans au moins un mécanisme correctement configuré, aucun e-mail ne peut réussir.
p=none est-il déjà sûr ?
p=none ne bloque rien — c’est de la surveillance. Il ne vous protège pas encore du spoofing, mais c’est l’étape indispensable pour voir qui envoie en votre nom avant de renforcer.
DMARC peut-il bloquer des e-mails légitimes ?
En p=quarantine ou p=reject, oui, si une source légitime ne s’aligne pas (ex. un service de newsletter sans DKIM). D’où l’importance de renforcer par source et seulement quand tout est correct.
Quelle différence entre RUA et RUF ?
RUA sont les rapports agrégés (résumé quotidien par source) — ceux que vous utilisez. RUF sont les rapports forensiques par message ; la plupart des grands fournisseurs ne les envoient plus et ils peuvent contenir des données personnelles.
Combien de temps pour passer à p=reject ?
Selon le nombre de sources, généralement quelques semaines. Il faut une fenêtre de données d’au moins 7 jours et que toutes les sources approuvées s’alignent à ≥98 %. DMARC-IT le surveille pour vous.
Passez DMARC en reject, en toute sécurité.
DMARC-IT analyse chaque source séparément et vous guide pas à pas de la surveillance à la protection complète.