Comment lire un rapport DMARC agrégé (rua) sans y perdre son latin

Un rapport DMARC agrégé (envoyé à l'adresse indiquée par le tag rua=) est un fichier XML, généralement compressé en .gz ou .zip, reçu quotidiennement de la part de chaque grand fournisseur de messagerie qui a traité des emails de votre domaine. Il liste, par source d'envoi, les volumes et les résultats d'authentification — c'est la seule source fiable pour savoir qui envoie réellement des emails en votre nom.

La structure d'un rapport

Un rapport rua contient toujours ces éléments principaux :

• report_metadata : qui a envoyé le rapport (Google, Microsoft, Yahoo...), la période couverte, un identifiant unique.
• policy_published : la politique DMARC de votre domaine telle qu'elle a été vue par ce fournisseur au moment du rapport.
• Un ou plusieurs blocs record : chacun correspond à une adresse IP source, avec le volume de messages envoyés et le résultat d'authentification pour ce volume.

Chaque record contient typiquement :

<record>
  <row>
    <source_ip>203.0.113.5</source_ip>
    <count>142</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>pass</spf>
    </policy_evaluated>
  </row>
  <identifiers>
    <header_from>exemple.com</header_from>
  </identifiers>
</record>

Ce qu'il faut regarder en priorité

Les IP sources que vous ne reconnaissez pas. Chaque source_ip avec un volume significatif doit correspondre à un expéditeur que vous connaissez : votre messagerie principale, un outil marketing, une plateforme transactionnelle. Une IP inconnue avec un volume notable mérite une investigation — c'est soit un outil oublié, soit potentiellement une usurpation.

Le champ disposition. Il indique ce que le fournisseur a fait du message : none (rien), quarantine ou reject. En phase d'observation (p=none chez vous), ce champ reste none par définition — c'est normal, pas une indication d'échec.

dkim et spf à fail. Un volume significatif en échec sur une IP que vous reconnaissez signale un problème de configuration à corriger avant d'envisager de durcir votre politique DMARC.

Le piège du volume agrégé sur plusieurs jours

Un seul rapport quotidien peut être trompeur si un expéditeur légitime n'envoie que ponctuellement (rapport mensuel, relance trimestrielle). Il faut idéalement observer plusieurs semaines de rapports agrégés avant de conclure qu'une source d'envoi a disparu ou n'existe pas — sans quoi vous risquez de retirer par erreur un expéditeur qui n'était simplement pas actif cette semaine-là.

Pourquoi le format brut est peu praticable manuellement

Un domaine avec un volume d'envoi modéré peut recevoir des dizaines de rapports XML par jour, un par fournisseur de messagerie ayant traité des messages de votre domaine. Les lire un par un n'est réaliste qu'à très faible échelle. Au-delà de quelques messages quotidiens, un outil qui agrège et présente ces rapports sous forme de tableau devient nécessaire pour repérer rapidement les sources inhabituelles sans dépouiller du XML brut chaque jour.

Ce que rua ne montre pas

Le rapport agrégé donne des volumes et des résultats, pas le contenu des messages ni les adresses des destinataires. Pour un diagnostic message par message (plus rare, et moins largement supporté par les fournisseurs), il existe un second type de rapport, forensique, associé au tag ruf= — nettement moins utilisé en pratique du fait de son support inégal et des questions de confidentialité qu'il soulève.