netlupaVérifier l'enregistrement DMARC d'un domaine
DMARC indique au monde quoi faire des e-mails qui usurpent ton domaine. Saisis-le pour vérifier sa politique et ses rapports.
Comment lire un enregistrement DMARC
DMARC est un enregistrement TXT sur _dmarc.tondomaine.fr qui commence par « v=DMARC1 » suivi de balises séparées par des points-virgules. Par exemple :
- v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100; adkim=s
La balise la plus importante est p, la politique : none (observer seulement), quarantine (envoyer en spam) ou reject (rejeter). Un e-mail réussit DMARC s'il réussit SPF ou DKIM et que, de plus, le domaine validé est aligné avec l'expéditeur que voit l'utilisateur.
Avec rua, tu recevras chaque jour des rapports XML des grands fournisseurs listant toutes les IP qui ont envoyé des e-mails en ton nom : c'est ainsi que tu découvres les services légitimes qui échouent et les tentatives d'usurpation.
Chaque enregistrement en détail
Questions fréquentes
Puis-je passer directement à « p=reject » ?
Seulement si tu es sûr que tous tes services d'envoi réussissent SPF ou DKIM alignés. Sinon, tu perdras des e-mails légitimes. Le plus sûr est de commencer en « none », d'examiner les rapports et de durcir progressivement.
Les sous-domaines ont-ils besoin de leur propre DMARC ?
Non : ils héritent de la politique du domaine principal (ou de celle de « sp », si tu l'indiques). Un enregistrement propre n'est nécessaire que pour une politique différente sur un sous-domaine.
Quel est mon sélecteur DKIM ?
Ouvre un e-mail que tu as envoyé, affiche son code source ou ses en-têtes d'origine et cherche DKIM-Signature : la valeur de « s= » est le sélecteur et celle de « d= » le domaine. Google Workspace utilise souvent « google » et Microsoft 365 « selector1 » et « selector2 ».
Vaut-il mieux « ~all » ou « -all » ?
Avec DMARC en place, la différence pratique est faible, car c'est la politique DMARC qui décide. « -all » est plus strict ; « ~all » est plus tolérant avec les transferts et les services oubliés. Sans DMARC, « -all » protège davantage.
J'ai modifié le DNS et l'outil ne le voit pas, pourquoi ?
Les enregistrements DNS restent en cache pendant la durée de leur TTL (souvent une heure). Attends ce délai et revérifie. Vérifie aussi que l'enregistrement est sur le bon nom (par exemple _dmarc.tondomaine.fr pour DMARC).
Faut-il SPF et DMARC sur un domaine qui n'envoie pas d'e-mails ?
Oui, c'est très recommandé : publie « v=spf1 -all » et « v=DMARC1; p=reject; » pour que personne ne puisse utiliser ce domaine afin d'envoyer de faux e-mails.
Conservez-vous les domaines que je vérifie ?
Non. Nous interrogeons le DNS public au moment même, avec notre propre résolveur, et nous ne conservons ni le domaine ni le résultat.