Qu'est-ce que DMARC ?

Définition

Domain-based Message Authentication, Reporting, and Conformance est la couche de politique de l'authentification d'emails. SPF et DKIM effectuent chacun un contrôle utile de leur côté, mais ni l'un ni l'autre, à lui seul, ne regarde l'adresse From qu'un destinataire voit réellement, et ni l'un ni l'autre n'indique au serveur destinataire quoi faire lorsqu'un contrôle échoue. DMARC comble ces deux lacunes. Il indique aux destinataires comment traiter le courrier non authentifié, et il produit des rapports qui donnent au propriétaire du domaine une visibilité sur la façon dont le domaine est utilisé.

Le nom lui-même décrit les trois tâches qu'il accomplit. La partie authentification signifie que DMARC s'appuie directement sur les résultats de SPF et DKIM. La partie reporting signifie que les destinataires envoient au propriétaire du domaine des données agrégées sur les messages prétendant provenir du domaine, dont le nombre de ceux qui ont passé et de ceux qui ont échoué. La partie conformité signifie que le propriétaire du domaine peut déclarer une politique à laquelle les destinataires doivent se conformer, allant de ne rien faire, à livrer en spam, jusqu'à rejeter purement et simplement. Ensemble, elles transforment SPF et DKIM, de contrôles isolés, en une défense applicable et observable de l'identité du domaine.

Comment ça fonctionne

Une politique DMARC est publiée sous forme d'un unique enregistrement DNS TXT au sous-domaine _dmarc.yourdomain.com. L'enregistrement commence par v=DMARC1, énonce la politique demandée dans une balise p=, et inclut généralement une balise rua= donnant une adresse où les rapports agrégés doivent être envoyés. À l'arrivée d'un message, le serveur destinataire exécute SPF et DKIM comme d'habitude, puis effectue l'évaluation DMARC au-dessus de ces résultats.

Le cœur de DMARC, c'est l'alignement. Il ne suffit pas que SPF ou DKIM réussissent. Le domaine validé par ces vérifications doit aussi correspondre au domaine affiché dans l'en-tête From visible, car protéger cette adresse From visible est toute la raison d'être de DMARC. Il existe deux modes d'alignement. L'alignement souple, par défaut, accepte une correspondance au niveau du domaine organisationnel, si bien qu'un sous-domaine peut s'aligner avec son domaine parent. L'alignement strict exige une correspondance exacte du domaine. DMARC réussit lorsqu'au moins un des deux, SPF ou DKIM, réussit et s'aligne avec le domaine From. C'est pourquoi un message peut réussir SPF ou DKIM à lui seul tout en échouant à DMARC si le domaine validé ne correspond pas à l'adresse From, une surprise fréquente quand les expéditeurs durcissent leur politique pour la première fois.

Lorsqu'un message échoue à DMARC, le serveur destinataire applique la politique publiée. Une politique p=none demande au destinataire de n'entreprendre aucune action particulière et simplement d'inclure le message dans les rapports : c'est le mode surveillance. Une politique p=quarantine demande au destinataire de traiter le courrier en échec avec méfiance, généralement en le dirigeant vers le dossier spam. Une politique p=reject demande au destinataire de bloquer entièrement le courrier en échec, de sorte qu'il n'atteint ni la boîte de réception ni le dossier spam. Le déploiement recommandé est progressif : commencez par none, étudiez les rapports agrégés pour confirmer que chaque source d'envoi légitime s'authentifie et s'aligne, puis passez à quarantine et enfin à reject une fois que les données montrent que c'est sans risque. Appliquer une politique stricte avant que la configuration soit terminée peut amener un domaine à bloquer son propre courrier légitime.

Pourquoi c'est important pour la délivrabilité des e-mails

DMARC compte pour deux raisons liées. La première est la sécurité. Sans DMARC, un attaquant peut envoyer un e-mail de phishing affichant le domaine exact d'une entreprise de confiance dans l'adresse From, car SPF et DKIM seuls ne contrôlent pas ce champ visible. Une politique DMARC en quarantine ou reject permet au véritable propriétaire du domaine d'ordonner aux fournisseurs de messagerie du monde entier de stopper ce courrier falsifié avant qu'il n'atteigne qui que ce soit. La seconde raison est la délivrabilité. Un enregistrement DMARC signale aux fournisseurs qu'un domaine prend l'authentification au sérieux, ce qui soutient sa réputation et son placement en boîte de réception.

DMARC est aussi devenu une exigence incontournable. Selon les exigences pour expéditeurs de 2024 de Google et Yahoo, les expéditeurs en masse doivent publier un enregistrement DMARC avec une politique d'au moins p=none, et ils doivent s'authentifier avec SPF et DKIM de manière à s'aligner sous DMARC. Un domaine dépourvu d'enregistrement DMARC peut voir son courrier de masse ralenti ou rejeté. Dans le même temps, les rapports renvoyés par DMARC ont une valeur en soi, car ils révèlent chaque service qui envoie du courrier sous le domaine. Cette visibilité aide un expéditeur à confirmer que tous ses outils légitimes, des plateformes marketing aux systèmes de support, s'authentifient correctement avant d'appliquer une politique plus stricte.

Comment VeriMails gère cela

DMARC et la vérification d'e-mails défendent la délivrabilité aux deux extrémités du message. DMARC protège l'identité de votre domaine sur le courrier que vous envoyez, en garantissant que les destinataires peuvent faire confiance à un message qui se présente comme venant de votre domaine. La vérification d'e-mails protège la qualité de la liste à laquelle vous écrivez, en s'assurant que chaque adresse est réelle et joignable. Un domaine peut avoir une politique DMARC irréprochable et tout de même nuire à sa réputation en écrivant à des adresses mortes : les deux pratiques se complètent plutôt qu'elles ne se chevauchent.

VeriMails s'occupe du côté destinataire. Chaque adresse que vous soumettez est contrôlée par validation de la syntaxe, recherche MX et DNS, poignée de main SMTP en direct, détection des domaines catch-all, détection des adresses jetables et détection des adresses génériques, ce qui élimine les adresses invalides qui rebondiraient et éroderaient la réputation que vos enregistrements DMARC, SPF et DKIM s'efforcent de protéger. Pour vous aider côté authentification, VeriMails propose un générateur DMARC gratuit qui construit un enregistrement correctement formaté afin que vous puissiez démarrer en mode surveillance et durcir la politique à mesure que vos rapports confirment que c'est sans risque. Vous pouvez vérifier une liste via l'API REST ou un import CSV en masse, avec des catégories de délivrabilité claires pour vos décisions de campagne. La vérification démarre à $0.0019 par e-mail, avec 10,000 crédits pour $19 et des forfaits annuels à partir de $12.50/month en facturation annuelle, et chaque compte démarre avec 100 crédits gratuits, sans carte bancaire, qui n'expirent jamais.

Questions fréquentes