DMARC remplace-t-il SPF et DKIM ?

Non, il s’appuie dessus. DMARC vérifie qu’au moins l’un des deux passe ET que le domaine validé correspond à celui affiché à votre destinataire. Sans SPF ni DKIM, DMARC n’a rien sur quoi se fonder.

Vais-je perdre du courrier en passant à p=reject ?

Seulement si un expéditeur légitime n’est ni aligné ni signé. C’est précisément ce que les semaines en p=none puis p=quarantine servent à découvrir. Monter directement à reject sans avoir lu les rapports est le seul vrai risque.

Où envoyer les rapports rua ?

Vers une adresse que vous relevez, ou vers un service qui les met en forme — les rapports bruts sont du XML compressé. Une boîte dédiée suffit pour commencer.

DMARC — empêcher qu’on écrive à vos clients en votre nom

DMARC dit aux serveurs destinataires quoi faire d’un message qui prétend venir de chez vous sans réussir les contrôles SPF ou DKIM. C’est la seule des trois briques qui donne un ordre — les deux autres ne font que constater.

Ce que le scan vérifie — Le scan lit votre politique DMARC, signale une politique absente ou en p=none, et vérifie qu’une adresse de rapport est bien déclarée.

Lancer l'audit gratuit de mon domaine

La politique, en une ligne

Un enregistrement TXT publié sur le sous-domaine `_dmarc`. `p=` porte l’ordre, `rua=` l’adresse qui recevra les rapports agrégés.

Une politique de départ, en observation

_dmarc.exemple.fr.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr; pct=100"

Pourquoi p=none ne protège de rien

`p=none` signifie « constate et laisse passer ». C’est utile quelques semaines, le temps de lire les rapports et de découvrir quels services envoient légitimement en votre nom — il y en a presque toujours un oublié : la facturation, l’outil d’emailing, le CRM.

Passé ce délai, une politique restée en `p=none` est un panneau sans barrière. Beaucoup de domaines s’y arrêtent parce que la première étape est indolore et que la suivante demande de vérifier quelque chose.

La montée en trois temps

Chaque palier se tient deux à quatre semaines, le temps de lire les rapports.

De l’observation au rejet

`p=none` — on observe. Objectif : la liste complète de vos expéditeurs légitimes, tous alignés en SPF et signés en DKIM.
`p=quarantine; pct=25` puis `pct=100` — les messages non conformes partent en indésirables. On monte le pourcentage quand plus rien de légitime n’échoue.
`p=reject` — les messages non conformes sont refusés à la porte. C’est le seul palier qui empêche réellement l’usurpation.

L’alignement, le détail qui bloque

DMARC n’exige pas seulement que SPF ou DKIM passe : il exige que le domaine validé corresponde au domaine affiché dans le champ « De ». Un prestataire qui envoie depuis son propre domaine passera SPF tout en échouant DMARC. C’est la cause numéro un des surprises au moment de passer en `quarantine`.

Questions fréquentes

DMARC remplace-t-il SPF et DKIM ?: Non, il s’appuie dessus. DMARC vérifie qu’au moins l’un des deux passe ET que le domaine validé correspond à celui affiché à votre destinataire. Sans SPF ni DKIM, DMARC n’a rien sur quoi se fonder.
Vais-je perdre du courrier en passant à p=reject ?: Seulement si un expéditeur légitime n’est ni aligné ni signé. C’est précisément ce que les semaines en p=none puis p=quarantine servent à découvrir. Monter directement à reject sans avoir lu les rapports est le seul vrai risque.
Où envoyer les rapports rua ?: Vers une adresse que vous relevez, ou vers un service qui les met en forme — les rapports bruts sont du XML compressé. Une boîte dédiée suffit pour commencer.

Vous préférez qu'on s'en occupe

SPF, DKIM, DMARC et durcissement DNS — 349 € en forfait, une fois. Nous posons la configuration, nous vérifions le résultat, et le rapport le prouve.

Voir le détail du forfait