Guide DMARC : bloquer l'usurpation de votre domaine

À quoi sert DMARC

SPF et DKIM vérifient des domaines techniques que le destinataire ne voit pas. Un fraudeur peut donc passer SPF avec son propre domaine tout en affichant direction@exemple.nc comme expéditeur. DMARC (RFC 7489) comble cette lacune : il exige que l'adresse affichée, celle du champ « De », corresponde à un domaine validé par SPF ou par DKIM.

DMARC apporte trois choses :

• une politique : ne rien faire (none), mettre en quarantaine (quarantine) ou rejeter (reject) les e-mails qui échouent ;
• des rapports : chaque jour, les grandes messageries vous indiquent quels serveurs ont envoyé des e-mails à votre nom, et avec quel résultat ;
• une protection des sous-domaines, qui héritent de la politique du domaine principal.

Depuis 2024, Gmail et Yahoo exigent un enregistrement DMARC des domaines qui leur envoient de gros volumes, et Outlook.com a suivi en 2025.

L'alignement

Un e-mail passe DMARC si au moins une de ces deux conditions est remplie :

• SPF réussit, et le domaine de l'adresse technique d'expédition (Return-Path) est celui du champ « De » ;
• DKIM réussit, et le domaine signataire (d=) est celui du champ « De ».

En alignement souple (r, par défaut), un sous-domaine suffit : news.exemple.nc est aligné avec exemple.nc. En alignement strict (s), les domaines doivent être identiques.

La montée progressive : none, quarantine, reject

Passer directement en p=reject risque de bloquer des e-mails légitimes, envoyés par un service que vous aviez oublié. La méthode sûre se fait en trois étapes.

1. Observer, avec p=none. Publiez v=DMARC1; p=none; rua=mailto:dmarc@exemple.nc. Rien n'est bloqué, mais les rapports arrivent. Pendant deux à quatre semaines, repérez chaque service qui envoie avec votre domaine et corrigez son SPF ou son DKIM jusqu'à ce qu'il passe DMARC. Dans Domain Check, cette étape vaut 30 : elle signale les usurpations sans les arrêter.
2. Mettre en quarantaine, avec p=quarantine. Les e-mails qui échouent arrivent en courrier indésirable. Vous pouvez commencer avec pct=25, puis augmenter, mais n'en restez pas là : tant que pct est inférieur à 100, une partie des usurpations passe. Note : 80, ou 60 avec pct inférieur à 100.
3. Rejeter, avec p=reject. Les e-mails qui usurpent votre domaine sont refusés avant d'atteindre la boîte du destinataire. C'est l'objectif : 100 dans Domain Check. Gardez les rapports pour repérer un nouveau service mal configuré.

Un domaine qui n'envoie aucun e-mail peut passer directement à v=DMARC1; p=reject;, avec un SPF v=spf1 -all.

Publier DMARC pour Microsoft 365

1. Vérifiez d'abord que SPF (include:spf.protection.outlook.com) et DKIM (selector1, selector2) sont en place et que la signature DKIM est activée : voir les guides SPF et DKIM.
2. Chez l'hébergeur DNS de votre domaine, créez un enregistrement TXT de nom _dmarc :

   v=DMARC1; p=none; rua=mailto:dmarc@exemple.nc

   Si votre DNS est géré par Microsoft 365, l'enregistrement s'ajoute dans le Centre d'administration Microsoft 365, rubrique Paramètres, puis Domaines.
3. Suivez la montée progressive ci-dessus jusqu'à p=reject.

Documentation Microsoft : configurer DMARC pour Microsoft 365 (nouvel onglet).

Publier DMARC chez un autre fournisseur

DMARC ne dépend pas de votre fournisseur de messagerie : c'est un enregistrement TXT unique, nommé _dmarc, que vous publiez chez votre hébergeur DNS. Avant de dépasser p=none, vérifiez que chaque service qui envoie avec votre domaine passe SPF ou DKIM avec un domaine aligné. Le plus sûr est de configurer DKIM pour chacun d'eux, avec votre propre domaine.

Sous-domaines. Un sous-domaine sans DMARC applique la politique sp du domaine principal, ou à défaut sa politique p. Ne mettez sp=none que si un sous-domaine en a réellement besoin : sinon, vos sous-domaines restent ouverts à l'usurpation. Domain Check retire 10 points dans ce cas.