Alignement DMARC : Modes d'alignement détendu et strict

L'authentification des e-mails ne se limite plus à la simple vérification de la conformité SPF DKIM. En 2026, les fournisseurs de messagerie accordent autant d'importance à la conformité de ces résultats d'authentification qu'à la correspondance entre ceux-ci et le domaine que les utilisateurs voient réellement dans l'adresse d'expéditeur. C'est là qu'intervient l'alignement DMARC.

L'alignement DMARC (Domain-based Message Authentication Reporting and Conformance) détermine si le domaine présenté aux destinataires correspond aux domaines validés par SPF DKIM. S'ils ne correspondent pas, un e-mail peut échouer au test DMARC, même si SPF DKIM le réussissent techniquement. C'est pourquoi de nombreuses organisations voient des e-mails légitimes atterrir dans les spams ou être rejetés après avoir renforcé l'application du DMARC.

La complexité provient des modes d'alignement. L'alignement souple autorise les correspondances de domaine organisationnel, y compris les sous-domaines. L'alignement strict exige une correspondance exacte du domaine. Choisir le mauvais mode peut nuire discrètement à la délivrabilité, en particulier lorsque plusieurs ESP, sous-domaines ou redirections sont impliqués.

Ce guide explique le fonctionnement de l'alignement DMARC, la différence réelle entre l'alignement strict et l'alignement souple en 2026, les scénarios d'échec courants et comment choisir le mode qui convient à votre infrastructure de messagerie sans compromettre le placement dans la boîte de réception.

Qu'est-ce que l'alignement DMARC ?

L'alignement DMARC L'alignement consiste à vérifier que le domaine figurant dans l'en-tête « De » de votre e-mail correspond aux domaines utilisés dans l'authentification SPF DKIM. DMARC s'aligne pour votre e-mail si le message passe l'alignement d'identifiant SPF DKIM.

Cela garantit que vos e-mails sont légitimes et protégés contre toute une série d'attaques frauduleuses, notamment le phishing, l'usurpation d'identité, les ransomwares, etc.

Le protocole d'authentification DMARC vérifie l'alignement des identifiants DMARC pour déterminer si un domaine de courrier électronique est potentiellement usurpé. Lors de la validation de votre courrier électronique, DMARC vérifie trois identifiants :

• L'en-tête From
• L'adresse du chemin de retour
• Le nom de domaine dans la signature DKIM

Point clé : DMARC passe l'alignement si SPF DKIM s'aligne avec le domaine « From » (en fonction de vos paramètres stricts ou souples). Si aucun des deux ne s'aligne, DMARC échoue, même si SPF DKIM affiche un « pass » seul.

C'est ce qui empêche les fraudeurs d'envoyer des e-mails qui semblent provenir de votre domaine tout en s'authentifiant avec un domaine différent en arrière-plan.

Comment fonctionne l'alignement DMARC ?

Pour bien comprendre l'alignement DMARC, il est utile de savoir quelle identité de domaine DMARC est conçue pour protéger. comparer. 

Lorsque vous implémentez DMARC, vous associez les résultats de SPF DKIM pour authentifier tous les e-mails provenant de votre domaine. Pour tout e-mail donné, DMARC utilise ce que l'on appelle « l'identité centrale », qui est le domaine figurant dans l'en-tête « De ». Il s'agit le domaine que les destinataires voient, et le domaine que DMARC tente de protéger.

Lorsqu'un e-mail provenant de votre domaine arrive sur le serveur destinataire, SPF vérifie son chemin de retour (adresse d'envoi/de rebond) et DKIM valide la signature cryptée à l'aide du domaine de signature DKIM. DMARC prend ensuite le résultat de chaque vérification et vérifie si le domaine utilisé dans SPF DKIM correspond au domaine dans l'en-tête « De ».

Cependant, il y a juste un petit problème. N'importe qui, y compris les criminels, peut acheter un domaine et mettre en œuvre SPF DKIM. Théoriquement, il devrait donc être possible pour quelqu'un d'envoyer un e-mail avec le domaine de votre organisation dans l'adresse « De : » (l'identité centrale) et de faire passer SPF avec le chemin de retour de son propre domaine. Les utilisateurs ne voient généralement que l'adresse « De : » et non le chemin de retour, ils ne se rendront donc même pas compte qu'il y a une différence entre les deux.

Types d'alignement DMARC : Alignements d'identifiants stricts et détendus 

Une fois que l'alignement DMARC est compris à un niveau élevé, l'étape suivante consiste à décider du degré de rigueur avec lequel la correspondance des domaines doit être appliquée. DMARC propose deux modes d'alignement : souple et strict, qui contrôlent le degré de précision avec lequel les domaines SPF DKIM authentifiés doivent correspondre au domaine indiqué dans l'en-tête « From ».

Comparaison côte à côte : alignement strict vs alignement souple

Ces modes d'alignement s'appliquent indépendamment à SPF DKIM, mais déterminent ensemble si un e-mail est conforme à DMARC.

1. Alignement assoupli DMARC

Lorsque l'alignement assoupli est activé pour SPF DKIM, DMARC considère qu'un e-mail est aligné si les domaines authentifiés correspondent au domaine d'origine de l'organisation. Cela signifie que les sous-domaines sont traités comme alignés.

En mode détendu, même si le domaine dans la commande Mail From et les domaines dans l'en-tête Return-Path (pour SPF) ou la signature DKIM (pour DKIM) ne correspondent pas exactement, mais appartiennent au même domaine organisationnel, l'alignement DMARC est considéré comme réussi.

Exemple d'alignement assoupli DMARC
v=DMARC1 ; p=reject; rua=mailto:[email protected] ; aspf=r ; adkim=r

Ici, les balises d'alignement aspf=r et adkim=r spécifient un alignement assoupli pour SPF DKIM.

2. Alignement strict DMARC

L'alignement strict impose un niveau de précision plus élevé. Dans ce mode, l'alignement DMARC n'est validé que si le domaine dans l'en-tête « From » correspond exactement aux domaines utilisés pour l'authentification SPF DKIM.

Si l'alignement strict est activé, les sous-domaines ne sont pas considérés comme alignés. Toute incompatibilité, même au sein du même domaine organisationnel, entraînera l'échec de l'alignement.

Exemple d'alignement strict DMARC
v=DMARC1; p=reject; rua=mailto:[email protected]; aspf=s; adkim=s

Ici, aspf=s et adkim=s exigent une correspondance exacte pour l'alignement SPF DKIM.

Le rôle de l'alignement des identifiants SPF et DKIM

L'alignement des identifiants SPF DKIM existe pour empêcher l'usurpation d'identité de domaine, et pas seulement pour confirmer qu'un e-mail a passé les contrôles d'authentification de base. Sans alignement, un e-mail peut techniquement passer SPF DKIM en utilisant un domaine tout en affichant un domaine différent et fiable dans l'adresse d'expéditeur, c'est-à-dire la partie que les destinataires voient réellement.

L'alignement des identifiants d'authentification permet de déterminer si l'expéditeur du courrier électronique est réellement autorisé à envoyer des messages au nom du domaine indiqué aux destinataires. Les fournisseurs de boîtes aux lettres s'appuient sur ce signal d'alignement pour distinguer les sources de courrier électronique légitimes des messages usurpés ou trompeurs, même lorsque SPF DKIM renvoient indépendamment un « pass ».

Les e-mails alignés sont plus susceptibles de passer les contrôles de vérification de l'expéditeur et d'être considérés comme fiables par les serveurs de messagerie destinataires. Lorsque l'alignement échoue, les fournisseurs considèrent le message comme présentant un risque plus élevé et peuvent le filtrer, quarantine ou le rejeter, en particulier lorsque DMARC est appliqué à des politiques telles que quarantine ou p=reject.

Quels facteurs peuvent influencer l'alignement des identifiants SPF DKIM ?

Plusieurs scénarios d'envoi courants peuvent entraîner des erreurs d'alignement :

• Les services de messagerie tiers et les ESP peuvent authentifier les e-mails à l'aide de leurs propres domaines, sauf s'ils sont explicitement configurés pour l'alignement.
• Le transfert d'e-mails peut perturber SPF de changements d'adresse IP et peut invalider le DKIM si le contenu du message est modifié.

Comment les modes d'alignement s'appliquent au SPF

SPF se concentre sur la relation entre le domaine Return-Path (Envelope From) et le domaine de l'en-tête From.

SPF est réussi lorsque ces domaines s'alignent selon le mode d'alignement DMARC sélectionné :

• SPF assoupli : Les correspondances de domaine organisationnel sont autorisées, donc les sous-domaines sont acceptés.
• SPF strict : Seules les correspondances exactes de domaine sont acceptées.

Étant donné que SPF sur l'adresse IP d'envoi, SPF est particulièrement sensible à des scénarios tels que le transfert d'e-mails, où l'adresse IP du serveur de transfert peut ne pas être autorisée dans SPF d'origine.

Comment les modes d'alignement s'appliquent à DKIM

L'alignement DKIM évalue si le domaine de signature DKIM (le d= dans la signature DKIM) correspond au domaine de l'expéditeur.

L'alignement DKIM est réussi lorsque le domaine de signature correspond au domaine d'expédition selon le mode d'alignement choisi :

• Alignement DKIM assoupli : Les correspondances de domaine organisationnel sont autorisées.
• Alignement DKIM strict : Une correspondance exacte du domaine est requise.

Contrairement SPF, le DKIM n'est pas affecté par les changements d'adresse IP lors du transfert, mais l'alignement DKIM peut échouer si le contenu ou les en-têtes du message sont modifiés pendant le transfert.

Comment relever les défis liés à l'alignement

Pour maintenir une cohérence dans l'alignement DMARC, les organisations doivent s'assurer que toutes les sources d'envoi légitimes sont intentionnellement alignées avec le domaine utilisé dans l'adresse d'expéditeur, et régulièrement surveillées à mesure que l'infrastructure de messagerie évolue.

Chez PowerDMARC, nous allons encore plus loin en vous aidant à configurer et à maintenir SPF, DKIM, ARCet DMARC de manière centralisée. Cela facilite l'alignement des expéditeurs tiers, la résolution des problèmes liés au transfert et la mise à jour des enregistrements d'authentification à mesure que votre configuration évolue, afin que vos e-mails légitimes aient le plus de chances d'atteindre la boîte de réception.

Exemples d'alignement DMARC

Les exemples suivants montrent comment l'alignement strict et l'alignement souple se comportent dans des scénarios réels d'envoi d'e-mails.

Exemple 1 : Entreprise SaaS utilisant plusieurs sous-domaines

• Extrait de l'en-tête : [email protected]
• SPF : marketing.entreprise.com
• Signature DKIM : support.entreprise.com

Résultat de l'alignement assoupli : ✓ Réussi (les domaines organisationnels correspondent)
Résultat de l'alignement strict : ✗ Échec (correspondance exacte requise)

C'est courant pour les entreprises SaaS qui envoient des e-mails à partir de plusieurs sous-domaines. L'alignement assoupli permet à ces messages de passer DMARC sans configuration supplémentaire.

Exemple 2 : Institution financière avec correspondance exacte du domaine

• Extrait de l'en-tête : [email protected]
• SPF : bank.com
• Signature DKIM : bank.com

Résultat de l'alignement détendu : ✓ Réussi
Résultat de l'alignement strict : ✓ Réussi

Comme tous les domaines correspondent exactement, les deux modes d'alignement fonctionnent. Cette configuration est courante dans les organisations disposant d'une infrastructure centralisée et soumises à des exigences de sécurité strictes.

Exemple 3 : service de messagerie tiers sans alignement

• Extrait de l'en-tête : [email protected]
• SPF : mailservice.com
• Signature DKIM : mailservice.com

Résultat de l'alignement détendu : ✗ Échec
Résultat de l'alignement strict : ✗ Échec

Dans ce scénario, ni SPF DKIM ne correspondent au domaine d'expéditeur. Même si SPF DKIM sont validés individuellement, DMARC échoue en raison d'un décalage, soulignant la nécessité d'une configuration appropriée des expéditeurs tiers.

Comment choisir le bon mode d'alignement DMARC ?

Le choix entre une conformité DMARC souple ou stricte dépend de votre infrastructure de messagerie, de votre tolérance aux faux positifs et de la manière dont vous comptez appliquer les politiques DMARC telles quequarantine p=reject. L'objectif est d'améliorer la protection contre l'usurpation d'identité sans perturber le flux de courriers légitimes.

Quel est le meilleur mode d'alignement DMARC ?

Il n'existe pas d'option universelle « meilleure » que les autres. Un alignement souple est généralement le point de départ le plus sûr pour la plupart des organisations, car il prend en charge les configurations courantes dans le monde réel (sous-domaines multiples et expéditeurs tiers). Un alignement strict offre une protection plus forte, mais nécessite une architecture d'envoi plus propre et plus cohérente, ainsi qu'une surveillance plus étroite afin d'éviter le blocage des e-mails légitimes.

Optez pour un alignement détendu lorsque

Un alignement souple est généralement préférable lorsque votre organisation dispose d'un écosystème d'envoi plus complexe, tel que :

• Vous envoyez des e-mails à partir de plusieurs sous-domaines (par exemple, marketing.exemple.com, support.exemple.com)
• Vous utilisez plusieurs plateformes de messagerie électronique ou des expéditeurs tiers qui peuvent s'authentifier à l'aide de sous-domaines.
• Vous implémentez DMARC pour la première fois et souhaitez réduire le risque de perturbation.
• Vous avez besoin de flexibilité pour identifier et corriger les sources d'envoi mal alignées.

Choisissez l'alignement strict lorsque

Un alignement strict est particulièrement efficace lorsque votre configuration d'envoi est étroitement contrôlée et que vous souhaitez bénéficier d'une protection maximale contre l'usurpation d'identité, par exemple :

• Vous envoyez des e-mails depuis un domaine principal avec un minimum de variations.
• Vous avez des exigences strictes en matière de sécurité (par exemple, services financiers, administration publique, environnements réglementés).
• Vous souhaitez empêcher les tentatives d'usurpation d'identité de sous-domaines.
• Vous êtes prêt à appliquer DMARC àquarantine p=reject, avec un système de surveillance en place.

Un cadre décisionnel pratique

Pour sélectionner le mode d'alignement DMARC approprié sans compromettre la délivrabilité :

1. Auditez votre infrastructure d'envoi
   Répertoriez tous les systèmes qui envoient des e-mails pour votre domaine (outils marketing, CRM, systèmes de billetterie, paie, facturation, relais internes), y compris les sous-domaines.
2. Vérifiez comment chaque source s'authentifie aujourd'hui
   Vérifiez si SPF DKIM sont validés et si les domaines authentifiés correspondent au domaine indiqué dans l'en-tête « De ».
3. Commencez par un alignement souple si vous n'êtes pas sûr
   Un alignement détendu est plus indulgent pendant que vous découvrez les erreurs de configuration et les incompatibilités entre les domaines des fournisseurs.
4. Passez au mode strict uniquement une fois que l'alignement est stable
   Le mode strict est préférable une fois que vos sources légitimes sont systématiquement authentifiées et alignées, et que vous pouvez vérifier les résultats grâce aux rapports DMARC.
5. Surveillez en permanence après avoir changé de mode
   Les problèmes d'alignement réapparaissent souvent lorsque les équipes ajoutent de nouveaux outils, modifient les configurations ESP ou introduisent de nouveaux sous-domaines.

Dans la plupart des cas, l'approche la plus efficace consiste à commencer par un alignement souple, à corriger les problèmes d'alignement dans toutes les sources légitimes, puis à passer à un alignement strict uniquement lorsque votre infrastructure peut le prendre en charge.

Comment surveiller, tester et valider l'alignement DMARC 

Une fois que vous avez activé l'alignement DMARC strict (ou que vous prévoyez de passer d'un alignement souple à un alignement strict), la surveillance devient essentielle pour éviter les faux positifs et empêcher que des e-mails légitimes ne soient filtrés ou rejetés. Le moyen le plus fiable de valider l'alignement DMARC consiste à utiliser les rapports agrégés DMARC, qui indiquent si SPF DKIM s'alignent correctement avec votre domaine d'expédition pour toutes les sources d'envoi.

Voici une procédure étape par étape pour vérifier la conformité DMARC de vos messages électroniques :

1. Aller à Rapports dans le menu principal
2. Cliquez sur Rapports agrégés DMARC et développez le menu déroulant.
3. Sélectionner Par résultat
4. Surveillez les sources d'envoi pour chaque résultat afin de consulter les résultats de conformité et d'alignement DMARC pour chaque résultat.

Quand l'alignement DMARC passe

L'alignement DMARC est réussi lorsque l'alignement des identifiants SPF DKIM (ou les deux) est réussi, en fonction du mode d'alignement sélectionné (strict ou souple).

Pourquoi l'alignement DMARC échoue-t-il ?

Une erreur d'alignement DMARC se produit généralement lorsque ni SPF DKIM ne correspondent au domaine indiqué dans l'en-tête « From ». Les raisons courantes sont les suivantes :

• Le domaine dans l'en-tête « From » ne correspond pas au domaine « Return-Path » (échecSPF ).
• Le domaine dans l'en-tête « De » ne correspond pas au domaine de signature DKIM (échec d'alignement DKIM).
• Les services de messagerie tiers sont mal configurés et s'authentifient à l'aide de leurs propres domaines.
• Le transfert d'e-mails perturbe SPF changements d'IP) et peut invalider le DKIM si les messages sont modifiés pendant leur transit.

Suivez les résultats de l'alignement avec PowerDMARC

PowerDMARC vous aide à surveiller vos e-mails tout en respectant une politique stricte d'alignement DMARC grâce à notre outil d'analyse DMARC . Nous vous aidons à suivre vos sources d'envoi d'e-mails, à vérifier les échecs d'alignement et à optimiser votre configuration d'authentification directement depuis notre tableau de bord.

Contactez nous aujourd'hui pour commencer !

FAQ

Qu'est-ce que l'alignement DMARC ?

L'alignement DMARC est le processus qui consiste à vérifier que le domaine indiqué dans l'en-tête « De » d'un e-mail correspond aux domaines authentifiés par SPF DKIM. Cela garantit que le domaine vu par les destinataires est le même que celui validé lors de l'authentification, ce qui permet d'éviter les attaques par usurpation d'identité et par spoofing.

Quel est le paramètre d'alignement par défaut pour DMARC ?

Le paramètre d'alignement DMARC par défaut est assoupli pour SPF DKIM. Cela permet les correspondances de domaine organisationnel, ce qui signifie que les sous-domaines sont autorisés à passer les contrôles d'alignement, sauf si des paramètres plus stricts sont explicitement configurés.

Qu'est-ce qu'un domaine Return-Path et pourquoi est-il important pour DMARC ?

Un domaine Return-Path (également appelé « Envelope From » ou adresse de rebond) est le domaine qui reçoit les e-mails non livrés ou renvoyés. Lors d'une vérification DMARC, SPF est évalué à l'aide du domaine Return-Path, et non de l'adresse visible From. Si le domaine Return-Path ne correspond pas au domaine From, SPF échouera.

Qu'est-ce qu'un domaine de signature DKIM ?

Un domaine de signature DKIM est le domaine utilisé pour signer cryptographiquement un e-mail (le d= dans la signature DKIM). Lors de l'évaluation DMARC, l'alignement DKIM vérifie si ce domaine de signature correspond au domaine de l'expéditeur. Un alignement souple autorise les correspondances organisationnelles, tandis qu'un alignement strict exige une correspondance exacte des domaines.

Comment le transfert d'e-mails affecte-t-il l'alignement DMARC ?

Le transfert d'e-mails peut entraîner des échecs d'alignement DMARC en rompant SPF , dans certains cas, le DKIM. SPF échouer lorsque les e-mails transférés sont envoyés à partir d'adresses IP non autorisées dans SPF de l'expéditeur d'origine. Le DKIM peut échouer si le contenu ou les en-têtes de l'e-mail sont modifiés lors du transfert. Si ni SPF le DKIM ne restent alignés, le DMARC échouera.

Comment puis-je surveiller les échecs d'alignement DMARC ?

Vous pouvez surveiller les problèmes d'alignement en activant les rapports agrégés DMARC et les rapports d'analyse (d'échec). Ces rapports indiquent quelles sources d'envoi sont conformes, lesquelles présentent des problèmes et pourquoi, ce qui vous aide à résoudre les problèmes et à améliorer la délivrabilité avant d'appliquer des politiques DMARC plus strictes.

Comment configurer correctement l'alignement DMARC ?

Pour configurer correctement l'alignement DMARC :

1. Configurer SPF DKIM pour toutes les sources d'envoi légitimes
2. Publiez un enregistrement DMARC avec les paramètres appropriés aspf et adkim .
3. Surveillez les rapports DMARC pour identifier les domaines mal alignés.
4. Correction des problèmes d'alignement des tiers et des sous-domaines
5. Passez progressivement d'un alignement souple à un alignement strict une fois la stabilité confirmée.

Qu'est-ce que l'alignement assoupli dans DMARC ?

L'alignement assoupli permet les correspondances de domaine organisationnel. Par exemple, si votre domaine expéditeur est example.com et que votre domaine de signature SPF ou DKIM est mail.example.com, l'alignement assoupli sera toujours accepté.

Quand dois-je utiliser l'alignement DMARC strict ?

L'alignement strict convient particulièrement aux organisations dont la configuration d'envoi est étroitement contrôlée, qui utilisent peu de sous-domaines et qui ont des exigences élevées en matière de sécurité ou de réglementation. Il ne doit généralement être mis en œuvre qu'après que toutes les sources d'envoi légitimes ont été alignées et surveillées de manière cohérente.

• À propos de
• Derniers messages

Maitham Al Lawati

Expert en cybersécurité, PDG de PowerDMARC

Maitham est un entrepreneur technologique, expert en cybersécurité, PDG et fondateur de PowerDMARC avec plus de 15 ans d'expérience dans l'industrie. Maitham est titulaire d'un Global MBA de l'Université de Manchester et de diverses certifications professionnelles, notamment CISSP, CISM, CRISC et ISC2 CCSP.

Derniers messages de Maitham Al Lawati (voir tous)

• Statistiques sur le phishing et le DMARC : tendances 2026 en matière de sécurité des e-mails - 6 janvier 2026
• Comment corriger « Aucun SPF trouvé » en 2026 - 3 janvier 2026
• SPF : comment corriger un nombre trop élevé de requêtes DNS - 24 décembre 2025