Comment fonctionne la vérification DMARC
Notre serveur demande au résolveur public de Cloudflare les enregistrements TXT à _dmarc.<domaine> et retient celui qui commence par v=DMARC1. Quand un sous-domaine n’en a pas, il interroge ses domaines parents, car les destinataires utilisent alors la politique du parent. Pour les adresses de rapport d’un autre domaine, il cherche l’enregistrement que ce domaine doit publier pour accepter les rapports. Il ne contacte jamais un serveur de messagerie, et chaque balise est lue selon les règles de la RFC 7489.
Un destinataire vérifie DMARC pour chaque message : il réussit quand SPF réussit pour une adresse de retour du même domaine que la ligne From, ou quand une signature DKIM de ce domaine est vérifiée (cette correspondance s’appelle l’alignement). Quand les deux échouent, le destinataire applique p : none remet le message, quarantine l’envoie dans les spams, reject le refuse. Dans tous les cas, il envoie un résumé quotidien à l’adresse rua.
Le chemin le plus sûr consiste à publier p=none avec une adresse rua, à lire les rapports pendant quelques semaines jusqu’à ce que chaque service qui envoie en votre nom réussisse, puis à passer à quarantine et enfin à reject. L’outil propose l’enregistrement suivant sur ce chemin.
Balises DMARC
Les balises que peut contenir un enregistrement DMARC, séparées par des points-virgules. Seules v et p sont obligatoires.
| Balise | Ce qu’elle définit | Par défaut |
|---|---|---|
v | La version. Toujours DMARC1, et toujours en premier. | — |
p | La politique pour les e-mails qui échouent : none, quarantine ou reject. | obligatoire |
sp | La politique des sous-domaines, quand elle doit différer de p. | comme p |
pct | La part des e-mails en échec à laquelle la politique s’applique, de 0 à 100. | 100 |
rua | Où vont les rapports agrégés quotidiens : une ou plusieurs adresses mailto:, séparées par des virgules. | none |
ruf | Où vont les rapports sur des messages isolés en échec. Peu de destinataires en envoient. | none |
adkim | Alignement DKIM : r (souple, les sous-domaines correspondent) ou s (strict, domaine exact). | r |
aspf | Alignement SPF : r (souple) ou s (strict). | r |
fo | Quand les rapports d’échec sont envoyés : 0 les deux contrôles échouent, 1 l’un des deux échoue, d DKIM échoue, s SPF échoue. | 0 |
ri | La fréquence à laquelle les rapports agrégés sont demandés, en secondes. | 86400 |
Exemple
example.com publie à _dmarc.example.com : "v=DMARC1; p=quarantine; sp=reject; rua=mailto:[email protected]; adkim=s". Un message avec From: example.com qui échoue aux deux contrôles va dans les spams ; un message de news.example.com qui échoue est refusé, à cause de sp=reject. Avec adkim=s, une signature DKIM de mail.example.com ne compte pas pour example.com, mais SPF reste souple : une adresse de retour à bounce.example.com reste donc alignée. Chaque jour, les destinataires envoient un résumé à [email protected]. pct n’est pas défini : la politique couvre donc 100 % des e-mails en échec.
Questions
Comment vérifier mon enregistrement DMARC ?
Saisissez votre domaine ci-dessus et appuyez sur Vérifier DMARC. L’outil lit l’enregistrement TXT à _dmarc.votredomaine, montre la politique et chaque balise en clair, et signale ce qui manque. Pour vérifier un enregistrement avant de le publier, passez en mode enregistrement collé ; il s’exécute dans votre navigateur.
Que signifient p=none, p=quarantine et p=reject ?
Ils indiquent aux destinataires quoi faire des e-mails qui prétendent venir de votre domaine mais échouent à DMARC. none : les remettre comme d’habitude et seulement produire des rapports. quarantine : les mettre dans les spams. reject : les refuser. Commencez par none pour collecter des rapports, puis passez à quarantine et reject quand tous vos propres e-mails passent.
Ai-je besoin de DMARC pour Gmail, Yahoo et Outlook ?
Si vous envoyez beaucoup d’e-mails, oui. Depuis février 2024, Gmail et Yahoo exigent un enregistrement DMARC (p=none suffit) des expéditeurs de plus de 5 000 messages par jour, et Outlook.com l’exige aussi depuis mai 2025. Les petits expéditeurs n’y sont pas obligés, mais les e-mails avec DMARC inspirent plus de confiance et les e-mails falsifiés à votre nom sont plus faciles à bloquer.
Que sont rua et ruf dans DMARC ?
rua est l’adresse des rapports agrégés : un résumé XML quotidien de chaque destinataire, qui liste les serveurs ayant envoyé des e-mails au nom de votre domaine et si SPF et DKIM ont réussi. ruf sert aux rapports d’échec sur des messages isolés, que peu de destinataires envoient encore. Une adresse d’un autre domaine ne reçoit des rapports que si ce domaine publie un enregistrement indiquant qu’il les accepte.
Pourquoi DMARC échoue-t-il alors que SPF réussit ?
Parce que SPF a réussi pour un autre domaine. SPF vérifie l’adresse de retour (Return-Path), qu’un service d’e-mail définit souvent sur son propre domaine ; DMARC exige qu’elle corresponde au domaine de la ligne From. Corrigez cela en configurant un domaine de retour personnalisé chez le service, ou en signant avec DKIM pour votre propre domaine : un seul succès aligné suffit.