Ce que DMARC apporte en plus de SPF et DKIM
SPF et DKIM prouvent chacun quelque chose à propos d'un message, mais aucun des deux ne vérifie que cette preuve concerne l'adresse que le destinataire voit réellement. DMARC comble cette lacune : il exige que SPF ou DKIM réussisse et soit aligné avec le domaine affiché, puis indique aux destinataires quoi faire quand les deux échouent. Il vous envoie aussi des rapports, seul moyen fiable de découvrir tous les outils qui envoient au nom de votre domaine.
L'enregistrement se trouve sur _dmarc.votredomaine.com sous forme d'enregistrement TXT. Un enregistrement minimal mais utile ressemble à ceci.
v=DMARC1; p=none; rua=mailto:[email protected]Choisir entre none, quarantine et reject
p=none est un mode de surveillance : rien ne change pour les destinataires, mais vous recevez des rapports. p=quarantine demande aux destinataires de placer le courrier en échec dans les spams. p=reject leur demande de le refuser. Gmail et Yahoo exigent un enregistrement DMARC des expéditeurs en volume et voient dans l'application d'une politique (quarantine ou reject) le signe d'un domaine bien géré.
- Les nouveaux domaines qui n'envoient que depuis un seul fournisseur de boîtes mail avec DKIM peuvent généralement passer directement à p=reject.
- Les domaines avec un historique d'outils et d'intégrations devraient commencer par p=none et lire les rapports pendant quelques semaines.
- Utilisez pct pour appliquer la politique par paliers : pct=25 applique la politique à un quart du courrier en échec et la politique plus souple au reste.
- Mettez sp=reject quand les sous-domaines n'envoient jamais de courrier, pour que personne ne puisse les usurper non plus.
Rapports agrégés et forensiques
La balise rua indique où les destinataires envoient les rapports agrégés : des fichiers XML quotidiens résumant chaque IP ayant envoyé au nom de votre domaine, et si SPF et DKIM ont réussi et étaient alignés. La balise ruf demande des rapports forensiques, des échantillons message par message que peu de destinataires envoient encore et qui peuvent contenir le contenu des messages. Pour la plupart des équipes, rua suffit.
Si l'adresse de rapport se trouve sur un domaine différent de celui qui publie l'enregistrement, le domaine destinataire doit publier un enregistrement d'autorisation sur votredomaine.com._report._dmarc.domainederapport.com contenant v=DMARC1. Les services hébergés de reporting DMARC le font automatiquement.
Modes d'alignement et outils de cold email
L'alignement relâché (par défaut) accepte un domaine signataire DKIM ou un domaine d'enveloppe SPF qui est le domaine affiché ou l'un de ses sous-domaines. Le mode strict exige une correspondance exacte. Les plateformes de cold email envoient via votre propre fournisseur de boîtes mail : le domaine affiché, le domaine DKIM et le domaine SPF correspondent donc, et l'alignement relâché passe sans problème.
Les difficultés apparaissent quand un outil envoie depuis sa propre infrastructure avec un domaine d'enveloppe différent et sans DKIM personnalisé ; le message échoue à l'alignement et une politique appliquée le met en quarantaine. Consultez les rapports avant de durcir, et gardez un alignement relâché sauf raison précise. Les domaines InboxOne arrivent avec un enregistrement DMARC déjà en place, pour que la première campagne démarre authentifiée.
