DMARC (Domain-based Message Authentication) : Le guide complet
Tout comprendre sur la politique DMARC pour orchestrer SPF et DKIM et protéger votre domaine contre le phishing.
Qu'est-ce que le DMARC ?
Le DMARC (Domain-based Message Authentication, Reporting and Conformance) est un protocole d'authentification email défini dans la RFC 7489. Il a été créé pour résoudre une faiblesse majeure de SPF et DKIM : ces protocoles, seuls, ne disent pas au serveur récepteur quoi faire en cas d'échec.
DMARC agit comme un chef d'orchestre qui définit une politique claire : que doit faire le serveur récepteur lorsqu'un email échoue aux vérifications SPF et DKIM ? Le rejeter, le mettre en quarantaine ou ne rien faire ? DMARC apporte également un système de rapports qui vous permet de voir exactement qui envoie des emails avec votre domaine.
Le concept clé de DMARC est l'alignement : le domaine utilisé dans le header "From" (visible par le destinataire) doit correspondre au domaine vérifié par SPF ou DKIM. Sans cet alignement, un attaquant pourrait passer le SPF avec son propre domaine d'enveloppe tout en affichant votre domaine dans le "From" visible.
DMARC est aujourd'hui considéré comme indispensable. De nombreux fournisseurs de messagerie (Google, Yahoo, Microsoft) exigent désormais un enregistrement DMARC valide pour accepter les emails en volume. Sans DMARC, vos emails risquent d'atterrir en spam ou d'être rejetés.
Comment fonctionne le DMARC ?
DMARC combine les résultats de SPF et DKIM avec une vérification supplémentaire d'alignement :
- Réception de l'email — Le serveur récepteur reçoit un email et extrait le domaine du header "From".
- Requête DNS DMARC — Il interroge le DNS pour trouver un enregistrement DMARC à l'adresse
_dmarc.domaine.com. - Vérification SPF + alignement — Le serveur vérifie si le SPF passe ET si le domaine de l'enveloppe (MAIL FROM) est aligné avec le domaine du header "From".
- Vérification DKIM + alignement — Le serveur vérifie si le DKIM passe ET si le domaine de la signature DKIM (tag
d=) est aligné avec le domaine du header "From". - Application de la politique — Si ni SPF ni DKIM ne passent avec alignement, le serveur applique la politique DMARC définie par le propriétaire du domaine.
- Envoi de rapports — Le serveur récepteur envoie des rapports agrégés (et éventuellement forensiques) au propriétaire du domaine.
Un enregistrement DMARC ressemble à ceci :
Chaque tag a une signification précise :
v=DMARC1— Identifie l'enregistrement comme DMARC version 1 (obligatoire).p=— La politique à appliquer :none(surveillance),quarantine(spam) oureject(rejet).rua=— Adresse de réception des rapports agrégés (obligatoire en pratique).ruf=— Adresse de réception des rapports forensiques (optionnel, peu supporté).adkim=— Mode d'alignement DKIM :s(strict) our(relaxed, par défaut).aspf=— Mode d'alignement SPF :s(strict) our(relaxed, par défaut).pct=— Pourcentage d'emails auxquels la politique s'applique (utile pour un déploiement progressif).
Comment configurer le DMARC étape par étape
Étape 1 : Vérifier SPF et DKIM
Avant de configurer DMARC, assurez-vous que votre SPF et DKIM sont correctement configurés. DMARC s'appuie sur ces deux protocoles — s'ils ne fonctionnent pas, DMARC ne pourra pas fonctionner efficacement.
Étape 2 : Commencer en mode surveillance (p=none)
Créez un enregistrement TXT dans votre DNS pour commencer à collecter des rapports sans impacter la délivrabilité :
- Type : TXT
- Nom : _dmarc
- Valeur :
Cette configuration ne bloque aucun email mais vous envoie des rapports quotidiens détaillant tous les emails envoyés avec votre domaine.
Étape 3 : Analyser les rapports (2 à 4 semaines)
Les rapports DMARC sont des fichiers XML. Vous pouvez les lire manuellement ou utiliser un service d'analyse (comme Postmark, dmarcian ou Valimail). Identifiez :
- Les services légitimes qui échouent (SPF ou DKIM manquant)
- Les sources suspectes qui usurpent votre domaine
- Le volume d'emails concernés
Étape 4 : Passer en mode quarantaine
Une fois que tous vos services légitimes passent SPF et/ou DKIM avec alignement, passez à la politique quarantine :
Le tag pct=50 permet d'appliquer la politique à seulement 50% des emails dans un premier temps, pour limiter les risques.
Étape 5 : Activer le rejet total (p=reject)
La dernière étape est la politique la plus stricte :
Avec p=reject, tout email qui échoue aux vérifications DMARC est rejeté par le serveur récepteur. C'est la protection maximale contre le spoofing et le phishing. L'alignement strict (adkim=s; aspf=s) exige une correspondance exacte des domaines.
Erreurs courantes à éviter
1. Passer directement à p=reject
C'est l'erreur la plus dangereuse. Si vous passez directement à p=reject sans phase de surveillance, vous risquez de bloquer vos propres emails légitimes. Suivez toujours la progression : none → quarantine → reject.
2. Rester indefiniment en p=none
La politique p=none n'offre aucune protection réelle : elle collecte des rapports mais ne bloque rien. Beaucoup de domaines restent en mode surveillance pendant des années. Fixez-vous un objectif de 1 à 3 mois maximum avant de passer à quarantine.
3. Ne pas configurer d'adresse de rapports (rua)
Sans le tag rua, vous ne recevrez aucun rapport. Vous serez aveugle sur ce qui se passe avec votre domaine. Les rapports sont essentiels pour détecter les problèmes de configuration et les tentatives d'usurpation.
4. Ignorer les sous-domaines
Par défaut, la politique DMARC du domaine principal ne s'applique pas aux sous-domaines. Utilisez le tag sp=reject pour définir explicitement une politique pour les sous-domaines, sinon un attaquant pourrait envoyer depuis fake.votredomaine.com.
Questions fréquentes sur le DMARC
Quelle politique DMARC choisir ?
L'objectif final est toujours p=reject, qui offre la meilleure protection. Mais commencez par p=none pour collecter des rapports et identifier tous les services qui envoient des emails avec votre domaine. Passez ensuite à p=quarantine puis à p=reject progressivement.
Qu'est-ce que l'alignement DMARC ?
L'alignement vérifie que le domaine utilisé dans le header "From" (visible par le destinataire) correspond au domaine vérifié par SPF (domaine de l'enveloppe) ou DKIM (domaine du tag d=). En mode "relaxed" (par défaut), les sous-domaines sont acceptés. En mode "strict", les domaines doivent correspondre exactement.
DMARC est-il obligatoire en 2025 ?
Techniquement non, mais en pratique oui. Depuis février 2024, Google et Yahoo exigent un enregistrement DMARC pour les expéditeurs envoyant plus de 5 000 emails par jour. Même pour les petits volumes, l'absence de DMARC dégrade sérieusement la délivrabilité de vos emails. C'est devenu un standard incontournable de la sécurité email.
Vérifiez votre domaine gratuitement
Testez votre configuration SPF, DKIM, DMARC et MTA-STS en un clic. Notre outil analyse votre domaine et vous indique exactement ce qu'il faut corriger.
Tester mon domaine