DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) est la couche de politique au-dessus de SPF et DKIM, définie par la RFC 7489. SPF et DKIM vérifient chacun un signal différent ; DMARC indique aux récepteurs deux choses : (1) que faire quand aucun des deux signaux ne « s'aligne » avec l'en-tête From: visible (none / quarantine / reject), et (2) où envoyer les rapports agrégés (RUA) et forensic (RUF). La politique est publiée sous forme d'enregistrement TXT à _dmarc.{domain}.

v=DMARC1; p=none; rua=mailto:dmarc-agg@votreentreprise.com; pct=100; adkim=r; aspf=r

Tags principaux :

• p= — politique : none (monitor uniquement), quarantine (dossier spam), reject (bounce).
• rua= — destinataire des rapports agrégés (un XML quotidien par récepteur).
• ruf= — rapports forensic / failure (rares ; peu de récepteurs en envoient).
• pct= — pourcentage du courrier en échec auquel appliquer la politique (knob de rollout).
• adkim= / aspf= — mode d'alignement : r relaxed (correspondance au niveau du domaine organisationnel) ou s strict (correspondance exacte avec From:).

Sauter p=none est l'erreur DMARC la plus fréquente — passer directement à p=reject sur un domaine dont les flux de courrier ne sont pas encore parfaitement maîtrisés revient à faire rebondir silencieusement du courrier légitime (forwarders, mailing lists, outils CRM). Le rollout standard consiste à : (1) déployer p=none avec reporting RUA et surveiller les rapports quotidiens pendant deux à quatre semaines ; (2) corriger les streams non authentifiés que les rapports révèlent ; (3) grimper par p=quarantine; pct=10 → 50 → 100 ; (4) finaliser sur p=reject; pct=100 dès que les rapports agrégés affichent zéro échec légitime pendant une semaine entière.

Google et Yahoo ont tous deux mis à jour leurs politiques bulk-sender en février 2024 pour exiger DMARC de tout expéditeur dépassant 5 000 messages par jour vers leurs utilisateurs (recommandations Google). Pour les opérateurs auto-hébergés qui utilisent AcelleMail avec Amazon SES à l'échelle, l'alignement DMARC n'est plus optionnel — c'est une précondition pour atteindre la boîte de réception chez les deux plus grands fournisseurs de mailbox.