Comprendre DMARC et utiliser l'assistant SendRepute
Découvrez la signification de DMARC, le fonctionnement de l'alignement et comment utiliser l'assistant SendRepute pour générer un enregistrement DMARC pour votre domaine.
Le protocole DMARC (Domain-based Message Authentication, Reporting, and Conformance) est un système d'authentification des e-mails qui aide les propriétaires de domaines à gérer leur réputation. Tel que défini dans la DMARC RFC 7489, il fournit des instructions claires aux serveurs de messagerie récepteurs sur la manière de traiter les messages qui échouent à l'authentification. DMARC s'appuie sur deux mécanismes existants : SPF (Sender Policy Framework) et DKIM (DomainKeys Identified Mail). En liant ces protocoles, DMARC aide les propriétaires de domaines à protéger leur identité de marque et offre aux destinataires une méthode standardisée pour évaluer le courrier entrant.
Fonctionnement de l'évaluation DMARC
Pour qu'un message réussisse le test DMARC, il doit passer soit un contrôle SPF aligné, soit un contrôle DKIM aligné. L'alignement signifie que le domaine trouvé dans l'en-tête visible "De" (From) correspond au domaine validé par SPF ou au domaine figurant dans la signature DKIM. Cette exigence empêche les expéditeurs malveillants de réussir l'authentification en utilisant leurs propres domaines tout en usurpant votre marque dans l'en-tête visible.
L'alignement peut être configuré de deux manières distinctes :
- Alignement flexible (relaxed) : Les domaines peuvent partager le même domaine organisationnel. Par exemple, un sous-domaine utilisé pour le marketing peut s'aligner avec un domaine parent utilisé dans l'en-tête visible.
- Alignement strict : Les domaines doivent correspondre exactement. Si l'adresse "De" utilise un sous-domaine, le domaine SPF ou DKIM doit utiliser ce même sous-domaine exact.
Les fournisseurs de messagerie prennent des décisions indépendantes basées sur ces contrôles, comme indiqué dans les consignes aux expéditeurs de Gmail.
Politiques DMARC et déploiement progressif
Lorsque vous configurez DMARC, vous indiquez aux récepteurs comment traiter les messages qui échouent à l'authentification. Le protocole propose trois niveaux de politique :
- p=none : Le récepteur ne prend aucune mesure contre les messages en échec. C'est un mode de surveillance utilisé pour recueillir des rapports sans affecter la délivrabilité.
- p=quarantine : Il est demandé au récepteur de placer les messages en échec dans le dossier spam ou courrier indésirable.
- p=reject : Il est demandé au récepteur de bloquer entièrement les messages en échec.
Un déploiement progressif est fortement recommandé. Les propriétaires de domaines devraient commencer par une politique "none" pour surveiller le trafic, corriger les failles d'authentification, puis passer graduellement à "quarantine" et enfin "reject" une fois qu'ils sont certains que le courrier légitime est correctement authentifié.
Rapports DMARC
DMARC offre une visibilité grâce à deux types de rapports :
- Rapports agrégés (rua) : Ils fournissent des résumés XML quotidiens des résultats d'authentification. Ils sont essentiels pour surveiller votre domaine, identifier les expéditeurs non autorisés et vérifier que les sources de courrier légitimes passent les contrôles.
- Rapports forensiques ou d'échec (ruf) : Ils fournissent des informations détaillées sur les messages individuels ayant échoué à l'authentification. La prise en charge des rapports forensiques varie considérablement selon les fournisseurs de messagerie en raison de préoccupations liées à la confidentialité, ils sont donc considérés comme facultatifs.
Utilisation de l'assistant DMARC de SendRepute
L'assistant SendRepute vous aide à générer un enregistrement DMARC valide en fonction de votre politique souhaitée et de vos préférences de rapport. Vous saisissez votre domaine et les adresses e-mail pour les rapports, et l'assistant génère une chaîne de texte formatée.
Vous devez prendre cet enregistrement généré et le publier en tant qu'enregistrement TXT auprès de votre fournisseur DNS. L'assistant lui-même ne publie pas d'enregistrements et n'interroge pas le DNS actuel. Aucun outil ne modifie les paramètres DNS. Le classificateur de contenu analyse uniquement le contenu, pas le DNS actuel ou les listes noires. Le Domain Check séparé lit le DNS public actuel et cinq sources d'intelligence sur les menaces publiques sélectionnées ; il ne s'agit pas d'une vérification complète de tous les DNSBL ou des listes de blocage des fournisseurs privés. Le classificateur et le constructeur n'envoient pas d'e-mails. SendRepute Campaigns envoie via votre propre fournisseur connecté ; SendRepute n'est pas un service de livraison SMTP hébergé. Notre classificateur de contenu se concentre sur l'analyse du contenu des e-mails avant l'envoi, en évaluant les noms d'expéditeurs, les objets, le corps du texte, les liens, le formatage et les signaux HTML avant que vous n'envoyiez un message. Lorsque le compte ou l'action le permet, le produit peut afficher une classification du spam, des estimations de confiance et des termes détectés. La plateforme prend également en charge les corrections HTML sécurisées, les modifications manuelles et la réécriture optionnelle par IA dans le produit. Ces fonctionnalités vous aident à préparer des campagnes optimisées. Pour plus de contexte sur la place de l'authentification dans votre stratégie globale, lisez notre article sur la Délivrabilité et Réputation.
Exemple d'enregistrement DMARC
Voici un exemple d'enregistrement DMARC pour un domaine utilisant une politique de surveillance et des rapports agrégés :
v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com;
Dans cet exemple, l'enregistrement s'applique à example.com et demande aux récepteurs d'envoyer des rapports agrégés à dmarc-reports@example.com. Vous trouverez plus de détails techniques dans l'enregistrement IETF DMARC RFC.