Ce dont vous avez besoin
L'accès aux réglages DNS de votre domaine (chez votre bureau d'enregistrement ou hébergeur DNS), une adresse capable de recevoir les rapports DMARC et la liste de tout ce qui envoie du courrier avec votre domaine.
Les trois enregistrements en un coup d'œil
| Enregistrement | Publié à | Ce qu'il prouve |
|---|---|---|
| SPF | TXT sur le domaine lui-même | Que l'adresse IP du serveur émetteur est autorisée à envoyer pour ce domaine |
| DKIM | TXT à selector._domainkey.domaine |
Que le message porte une signature valide d'une clé publiée par le domaine et n'a pas été modifié |
| DMARC | TXT à _dmarc.domaine |
Ce que les destinataires doivent faire quand ni SPF ni DKIM ne correspondent à l'adresse From visible, et où envoyer les rapports |
Une configuration terminée pour un domaine d'exemple ressemble à ceci :
example.com. TXT "v=spf1 include:_spf.mailhost.example ~all"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A..."
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Déployer DMARC en sécurité
| Étape | Politique | Effet |
|---|---|---|
| Surveillance | p=none |
Rien n'est bloqué ; les rapports montrent toutes les sources |
| Application douce | p=quarantine |
Le courrier en échec va dans les indésirables |
| Application totale | p=reject |
Le courrier en échec est refusé |
Restez à chaque étape jusqu'à ce que les rapports ne montrent plus aucun expéditeur légitime en échec. Passez plus de temps en surveillance que nécessaire, car les expéditeurs oubliés (un système de facturation, un ancien outil de newsletters) sont les victimes habituelles.
Pièges courants
- Deux enregistrements SPF. Un domaine doit avoir exactement un enregistrement TXT SPF. Fusionnez-les en un seul.
- Plus de 10 requêtes. Chaque
include,a,mx,existsetredirectcompte, tout comme ce que font à leur tour les enregistrements inclus. Dépasser la limite fait échouer SPF avec une erreur permanente. - Utiliser
+all. Il autorise tout Internet. Ne le publiez jamais. - Oublier les expéditeurs tiers. Les services de newsletters, de tickets et de facturation doivent figurer dans SPF et signer avec votre domaine via DKIM.
- Ignorer l'alignement. DMARC exige que le domaine ayant passé SPF ou DKIM corresponde au domaine From visible. Un service qui signe uniquement avec son propre domaine n'améliore pas votre résultat DMARC.
- Boîte aux lettres noyée de rapports. Les rapports agrégés sont des fichiers XML. Utilisez une boîte dédiée ou un service de traitement.
Pour aller plus loin
La façon dont les trois normes s'articulent est expliquée dans L'authentification e-mail : SPF, DKIM et DMARC et la syntaxe exacte des balises figure dans Aide-mémoire de la syntaxe SPF, DKIM et DMARC. Pour analyser un message reçu, suivez Comment vérifier si un e-mail est usurpé.