DMARC (Domain-based Message Authentication, Reporting and Conformance) s'appuie sur SPF et DKIM pour indiquer aux serveurs receveurs quoi faire d'un email qui échoue l'authentification (l'ignorer, le mettre en quarantaine, le rejeter), et permet de recevoir des rapports sur l'usage de votre domaine. Entrez votre domaine pour voir sa politique actuelle.
DMARC (RFC 7489) est un enregistrement TXT publié sur _dmarc.votredomaine.com. Il définit une politique (tag p=) appliquée aux emails dont l'en-tête From porte votre domaine mais qui échouent l'authentification SPF et DKIM alignées : none (ne rien faire, juste surveiller), quarantine (mettre en spam) ou reject (rejeter).
Le tag pct= permet d'appliquer la politique à un pourcentage seulement des messages concernés, utile pour un déploiement progressif. Le tag rua= indique une adresse qui recevra des rapports agrégés quotidiens (qui envoie en votre nom, et avec quel taux de succès SPF/DKIM).
DMARC n'authentifie rien par lui-même : il exploite les résultats de SPF et DKIM, et exige en plus leur alignement avec le domaine affiché dans From — c'est ce qui le rend efficace contre l'usurpation directe de votre domaine.
p=none est une étape de surveillance utile au démarrage, mais elle n'offre aucune protection : les emails usurpant votre domaine continuent d'être livrés normalement. L'objectif doit être de progresser vers quarantine puis reject.
Sans adresse rua, vous n'avez aucune visibilité sur qui envoie des emails avec votre domaine — légitimement ou non — et ne pouvez pas savoir si passer à une politique plus stricte cassera des flux existants.
Basculer directement en p=reject sans avoir observé les rapports agrégés au préalable risque de bloquer des expéditeurs légitimes oubliés (outil marketing, service RH, imprimante réseau...).
aspf=s et adkim=s exigent une correspondance exacte de domaine (pas seulement un sous-domaine). À activer seulement après avoir vérifié que tous les flux legitimes le respectent.
p=none est souvent la valeur de départ, volontaire ou par défaut : elle active la collecte de rapports (rua) sans bloquer ni mettre en quarantaine aucun email, même usurpé. C'est une phase d'observation, pas une protection — l'étape suivante consiste à passer progressivement à quarantine puis reject une fois les rapports analysés.
none pour observer sans impact, quarantine pour envoyer les emails non authentifiés en spam plutôt que de les bloquer complètement (bon compromis intermédiaire), reject pour un rejet pur et simple par le serveur receveur — à réserver une fois certain qu'aucun expéditeur légitime n'est impacté.
pct indique le pourcentage des emails non conformes auxquels la politique s'applique. pct=25 avec p=quarantine met en quarantaine seulement 1 message non conforme sur 4 : pratique pour un déploiement progressif avant de passer à 100.
Un rapport rua est un fichier XML compressé listant, par source d'envoi (IP, souvent un fournisseur), le volume de messages, et le résultat SPF/DKIM/alignement pour chacun. Des outils dédiés (dont un tableau de bord Stampcheck Pro) le transforment en tableau lisible.
Non. DMARC protège uniquement l'usurpation exacte de votre domaine dans l'en-tête From. Il n'empêche pas les domaines visuellement proches (typosquatting comme votreentreprise-support.com) : c'est un risque distinct à surveiller séparément.
Un compte Stampcheck gratuit vous donne accès aux 8 outils, à l'audit complet en un seul passage et à l'historique de vos résultats.