Ce que DMARC apporte en plus de SPF et DKIM
SPF et DKIM prouvent chacun quelque chose à propos d'un message, mais aucun des deux ne contrôle le domaine que le destinataire voit réellement dans l'en-tête De. DMARC comble cette lacune. Il exige que le domaine ayant réussi SPF ou DKIM soit aligné avec le domaine affiché, et il indique aux destinataires quoi faire en cas d'échec : délivrer quand même (none), envoyer en spam (quarantine) ou refuser (reject).
Il demande aussi aux destinataires de vous envoyer des rapports agrégés décrivant chaque source qui envoie au nom de votre domaine et si elle a réussi. Pour une opération de cold email, DMARC est ce qui vous permet d'empêcher l'usurpation par des domaines similaires et de repérer un outil mal configuré avant qu'il ne grille un domaine.
_dmarc.yourdomain.com TXT
v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100Passer de p=none à quarantine puis à reject
Commencez par p=none avec une adresse rua. Rien ne change pour la distribution, mais en quelques jours vous recevrez des rapports XML listant chaque IP ayant envoyé du courrier avec votre domaine. Vérifiez que votre prestataire de messagerie, votre outil d'envoi et votre éventuel CRM passent tous avec un alignement correct. Une fois que seules les sources attendues apparaissent et qu'elles réussissent toutes, passez à p=quarantine.
Restez en quarantine quelques semaines. Si rien de légitime n'est mis en quarantaine, basculez sur p=reject. Gmail et Yahoo exigent au minimum p=none des expéditeurs en volume, mais les destinataires accordent plus de crédit aux politiques appliquées, et reject est le seul réglage qui bloque totalement l'usurpation.
- Utilisez pct=25 ou pct=50 pour déployer quarantine progressivement si vous êtes prudent.
- Définissez sp= si les sous-domaines ont besoin d'une politique différente ; sinon ils héritent de p.
- Gardez adkim et aspf en mode relâché, sauf si chaque expéditeur utilise exactement le domaine affiché.
- Relisez les rapports chaque fois que vous ajoutez un nouvel outil d'envoi.
Lire les balises qui comptent
L'enregistrement est une liste de paires balise=valeur séparées par des points-virgules. v doit valoir DMARC1 et arriver en premier. p est la seule autre balise obligatoire. rua accepte une ou plusieurs adresses mailto: pour les rapports agrégés. pct limite la part du courrier en échec à laquelle la politique s'applique. adkim et aspf font basculer l'alignement entre relâché (les sous-domaines comptent) et strict (correspondance exacte). Tout le reste est facultatif et rarement nécessaire.
Une erreur fréquente consiste à envoyer les rapports vers une adresse tierce sans l'enregistrement d'autorisation que ce domaine doit publier. Une autre consiste à ajouter deux enregistrements DMARC, ce qui rend la politique indéfinie. L'outil signale les deux, ainsi que les fautes de frappe qui transforment une vraie balise en balise inconnue ignorée par les destinataires.
DMARC pour les domaines de cold email
Les domaines de prospection sont des cibles fréquentes d'usurpation parce qu'ils sont récents et rarement surveillés. Une politique reject ne coûte rien dès lors que votre propre courrier est aligné, et elle élimine toute une catégorie d'atteintes à la réputation. Comme la plupart des configurations de cold email passent par Google Workspace ou Microsoft 365 avec DKIM activé, l'alignement est normalement déjà en place.
InboxOne publie SPF, DKIM et un enregistrement DMARC sur chaque domaine qu'il provisionne : le domaine est donc protégé dès le premier envoi. Si vous gérez le DNS vous-même, utilisez le générateur pour construire l'enregistrement et cet outil pour le confirmer après propagation.
