Quelles sont les exigences DMARC ? Règles, politiques et conformité à l'échelle mondiale

Les exigences DMARC ne sont plus de simples recommandations techniques. Elles s'inscrivent désormais dans un contexte marqué par un ensemble croissant de réglementations internationales, de cadres de conformité sectoriels et de règles édictées par les fournisseurs de messagerie. Dans de nombreuses régions, les gouvernements et les organismes du secteur public ont fait de DMARC une exigence officielle pour la protection des domaines officiels, tandis que des normes telles que PCI DSS intègrent de plus en plus l'authentification des e-mails dans le cadre plus large de la conformité en matière de sécurité. Parallèlement, des fournisseurs tels que Google, Yahoo et Microsoft exigent désormais une authentification plus rigoureuse de la part des expéditeurs, en particulier ceux qui envoient des e-mails à grande échelle.

Cette évolution signifie que le protocole DMARC ne vise plus uniquement à prévenir l'usurpation d'identité. Il joue désormais un rôle direct dans la délivrabilité des e-mails, la protection de la marque, la confiance des clients et la conformité réglementaire. Pour de nombreuses organisations, le non-respect des exigences DMARC peut entraîner le rejet d'e-mails, une augmentation du risque de phishing et des lacunes en matière de conformité qu'il devient difficile d'ignorer.

Ce guide présente les exigences DMARC dans cette perspective plus large. Il aborde les règles et les obligations internationales qui favorisent son adoption, les exigences auxquelles les expéditeurs doivent se conformer au niveau des fournisseurs, ainsi que les fondements techniques (notamment SPF, DKIM et l'alignement) nécessaires pour garantir la conformité.

Quelles sont les exigences DMARC ?

Les exigences DMARC désignent les normes techniques et opérationnelles auxquelles les propriétaires de domaines doivent se conformer pour mettre en œuvre correctement l'authentification, le rapport et la conformité des messages basés sur le domaine.

Ils se répartissent sur trois niveaux : les obligations réglementaires, les exigences imposées aux fournisseurs et les normes techniques nécessaires à la mise en œuvre correcte du protocole DMARC.

À la base, DMARC est un protocole d'authentification des e-mails qui s'appuie sur le Sender Policy Framework (SPF) et le DomainKeys Identified Mail (DKIM) pour vérifier que les messages sortants proviennent bien du domaine qu'ils prétendent représenter.

Lorsqu'un message échoue à ces contrôles d'authentification, votre politique DMARC indique aux serveurs de messagerie destinataires comment le traiter.

Un domaine répond aux exigences DMARC lorsque :

• Les paramètres SPF DKIM sont correctement configurés pour le domaine d'envoi
• Un enregistrement TXT DNS DMARC valide a été publié
• Au moins l'un des SPF DKIM est validé et correspond au domaine indiqué dans l'en-tête « From »
• Les rapports DMARC sont surveillés de près

Ce qui a changé, ce sont les enjeux. Les exigences DMARC sont désormais rendues obligatoires ou appliquées dans de nombreux pays et cadres réglementaires à travers le monde. Elles sont également appliquées par Google, Yahoo, Microsoft et PCI DSS, et leur non-respect a des conséquences directes sur la la délivrabilité des e-mails, la confiance envers la marque et la conformité réglementaire.

Types d'exigences DMARC

Les exigences DMARC peuvent être classées en trois catégories :

• Exigences réglementaires : Mandats émis par les gouvernements et les organismes de conformité tels que la CISA (États-Unis), le NCSC (Royaume-Uni) et la directive NIS2 (UE), qui exigent des organisations qu'elles mettent en œuvre et appliquent le protocole DMARC dans le cadre de normes de cybersécurité plus larges.
  
• Exigences des fournisseurs : Règles d'application imposées par les fournisseurs de messagerie tels que Google, Yahoo et Microsoft, en particulier pour les expéditeurs en masse, où l'authentification et le respect des politiques ont un impact direct sur la délivrabilité des e-mails.
  
• Exigences techniques :La configuration de base nécessaire à la mise en œuvre correcte de DMARC, notamment les politiques SPF, DKIM et DMARC, ainsi que l'alignement correct des domaines.

Il est essentiel de comprendre comment ces couches fonctionnent ensemble pour parvenir à une conformité totale avec le protocole DMARC et la maintenir.

Exigences DMARC à l'échelle mondiale par région

Le protocole DMARC est désormais obligatoire ou appliqué dans de nombreux pays et cadres réglementaires, ce qui en fait une exigence fondamentale pour toute infrastructure de messagerie sécurisée. Voici où en sont aujourd'hui les principales obligations en la matière.

États-Unis

Le gouvernement fédéral américain a été l'un des premiers à rendre obligatoire l'utilisation du protocole DMARC à l'échelle nationale. En 2017, le Département de la sécurité intérieure a publié la directive opérationnelle contraignante 18-01 (BOD 18-01), exigeant que toutes les agences du pouvoir exécutif fédéral mettent en œuvre le protocole DMARC avec une politique minimale de p=reject dans un délai d'un an.

La CISA (Agence pour la cybersécurité et la sécurité des infrastructures) continue de superviser et de faire respecter ces normes, et la directive reste en vigueur pour tous les domaines .gov. La directive BOD 18-01 a établi un précédent mondial que d'autres gouvernements ont depuis suivi.

Royaume-Uni

Le Le Centre national de cybersécurité (NCSC) du Royaume-Uni impose la mise en œuvre du protocole DMARC à l'ensemble des ministères et des organismes du secteur public. Le NCSC recommande une politique minimale de type « p=reject » et publie des directives concrètes exigeant des organisations qu'elles en assurent l'application.

Le gouvernement britannique propose également un service appelé « Mail Check » destiné à aider les organismes du secteur public à surveiller et à améliorer leur niveau de sécurité en matière d'authentification des e-mails.

Union européenne

La directive NIS2, entrée en vigueur dans tous les États membres de l'UE en octobre 2024, établit des exigences contraignantes en matière de cybersécurité pour les secteurs des infrastructures critiques, notamment l'énergie, la finance, la santé et les infrastructures numériques.

Les contrôles de sécurité des e-mails, notamment le protocole DMARC, sont considérés comme des mesures techniques de base que les organisations doivent mettre en œuvre pour démontrer leur conformité.

Bien que la directive NIS2 ne mentionne pas explicitement DMARC dans chacune de ses dispositions, les autorités de contrôle de plusieurs États membres ont commencé à y faire référence comme mesure de contrôle obligatoire lors des audits.

Australie

Le Centre australien de cybersécurité (ACSC), qui relève de l'Australian Signals Directorate, impose l'utilisation du protocole DMARC pour les domaines du gouvernement australien et le recommande vivement à toutes les organisations du secteur privé.

L' Stratégies de l'ACSC Stratégies de l'ACSC pour atténuer les incidents de cybersécurité cadre mentionne l’authentification des e-mails comme une mesure de contrôle prioritaire, et les organismes gouvernementaux sont tenus de la mettre en œuvre.

Canada

Le Secrétariat du Conseil du Trésor du Canada exige la mise en œuvre du protocole DMARC dans toutes les institutions du gouvernement fédéral dans le cadre de ses directives en matière de sécurité des courriels. Les domaines fédéraux canadiens sont tenus de publier et d'appliquer des politiques DMARC conformes aux normes internationales.

Autres mandats en cours

Exigences DMARC de Google, Yahoo et Microsoft

Outre les obligations réglementaires, les fournisseurs de messagerie imposent désormais le protocole DMARC comme condition préalable à la livraison dans la boîte de réception, en particulier pour les expéditeurs en masse. Si votre organisation est considérée comme un expéditeur en masse, ces exigences s'appliquent désormais à vous.

Qu'est-ce qu'un expéditeur en masse ?

On considère comme expéditeurs de courriers électroniques en masse ceux qui envoient plus de 5 000 e-mails par jour vers des comptes Gmail. Yahoo applique des seuils similaires. Microsoft utilise ses propres critères pour classer les courriers électroniques en masse, mais applique des normes d'authentification équivalentes.

Aperçu des exigences

Vous trouverez tous les détails dans la exigences d'authentification des e-mails de Google et Yahoo , et vous pouvez consulter directement les consignes de Google à l'intention des expéditeurs directement pour connaître les spécifications actuelles.

Le non-respect de ces exigences peut avoir un impact considérable sur la délivrabilité des e-mails destinés aux clients disposant de comptes Gmail, Yahoo et Apple iCloud. Les entreprises qui ne se conforment pas à ces exigences s'exposent à des rejets d'e-mails tant temporaires que permanents ; il est donc essentiel de prendre les devants pour se conformer à ces obligations.

Exigences DMARC pour la conformité à la norme PCI DSS

Pour les organisations qui traitent des données relatives aux cartes de paiement, le protocole DMARC est une obligation réglementaire.

Le Conseil des normes de sécurité de l'industrie des cartes de paiement (PCI SSC) a rendu obligatoire l'utilisation de DMARC dans le cadre de la norme PCI DSS. Cette obligation a été instaurée en raison de la recrudescence des fraudes par e-mail, l'usurpation de domaineet la compromission des e-mails professionnels comptent parmi les principaux vecteurs utilisés pour cibler les organisations de l'écosystème des paiements.

Ce que signifie le non-respect des obligations pour les organismes de paiement :

• Perte du droit d'effectuer des opérations par carte de paiement
• Exposition à des attaques par usurpation d'identité de marque visant les clients et les partenaires
• Une vulnérabilité accrue face aux attaques par usurpation de messagerie d'entreprise et aux messages de hameçonnage

Au-delà de la norme PCI DSS, le protocole DMARC est de plus en plus souvent mentionné dans d'autres cadres réglementaires comme mesure de sécurité de base pour les e-mails. Les organisations soumises à des exigences de conformité fédérales devraient également examiner comment le protocole DMARC s'inscrit dans leurs obligations générales.

Que se passe-t-il si vous ne respectez pas les exigences DMARC ?

Les risques liés au non-respect des exigences DMARC sont concrets, immédiats et, dans certains cas, très difficiles à surmonter.

Conséquences sur la délivrabilité

Conséquences sur la réputation

Sans politique DMARC, votre domaine peut être utilisé librement pour envoyer des messages de phishing et des messages malveillants qui semblent provenir directement de votre organisation.

Les entreprises qui ne respectent pas les exigences DMARC sont souvent confrontées à des cas d'usurpation d'identité et d'escroqueries dont il est difficile de se remettre, en particulier lorsque les clients ont déjà reçu des messages frauduleux semblant provenir d'un domaine de confiance.

Le non-respect des normes DMARC peut également entraîner une augmentation du taux de spam, car les fournisseurs de messagerie commencent à se méfier de votre domaine d'envoi, ce qui crée un problème qui s'aggrave et affecte la délivrabilité bien après que le problème initial a été résolu.

Conséquences réglementaires

Pour les organisations soumises à la norme PCI DSS, le fait de ne pas mettre en œuvre le protocole DMARC peut entraîner la perte du droit de traiter des paiements. Il s'agit d'une conséquence prévue en cas de non-conformité à la norme en vigueur.

Les prérequis essentiels : SPF DKIM

DMARC ne peut pas fonctionner sans que SPF DKIM soient déjà en place. Ces deux méthodes d'authentification des e-mails constituent la base sur laquelle repose DMARC, et elles doivent toutes deux être correctement configurées avant que vous publier un enregistrement DMARC.

Il est recommandé d'activer SPF DKIM au moins 48 heures avant de mettre en œuvre DMARC, afin de disposer du temps nécessaire pour vérifier que ces deux mécanismes fonctionnent correctement avant d'appliquer une politique en cas d'échec.

Cadre de politique d'expéditeurSPF

SPF un enregistrement TXT DNS qui répertorie toutes les adresses IP autorisées à envoyer des e-mails au nom de votre domaine. Lorsqu'un serveur destinataire reçoit un e-mail, il vérifie si l'adresse IP de l'expéditeur figure dans votre SPF .

Deux SPF courants liés SPF à surveiller :

• RecherchesSPF : Les enregistrements nécessitant un trop grand nombre de recherches DNS interrompent l'authentification sans avertissement et constituent l'une des causes les plus courantes d'échecs inattendus.
• Infrastructures d'envoi complexes: Les organisations gérant un grand nombre d'expéditeurs autorisés peuvent utiliser desSPF pour adapter leurs SPF sans atteindre les limites de recherche.

Courrier identifié DomainKeys (DKIM)

DKIM ajoute une signature numérique cryptographique aux messages sortants, permettant aux serveurs destinataires de vérifier que le corps et les en-têtes du message n'ont pas été modifiés pendant le transit.

La conformité DKIM dans le cadre du protocole DMARC exige que le domaine figurant dans l'en-tête « From » corresponde au domaine spécifié dans la balise « d= » de la signature DKIM. Une signature DKIM techniquement valide qui ne correspond pas au domaine « From » échouera tout de même au test DMARC.

Guide étape par étape pour la configuration de DMARC

Une fois que SPF DKIM sont configurés et validés, vous pouvez publier votre enregistrement DMARC. Il est essentiel de bien configurer ce paramètre, car toute erreur dans votre enregistrement peut soit laisser votre domaine sans protection, soit empêcher l'authentification d'e-mails légitimes.

Configuration étape par étape

1. Vérifiez que les protocoles SPF DKIM sont activés et qu'ils fonctionnent depuis au moins 48 heures
2. Créez votre enregistrement DNS TXT à l'adresse _dmarc.votredomaine.com
3. Commencez par une politique « p=none » pour collecter des données sans affecter la livraison
4. Ajouter des adresses de rapport afin que les rapports DMARC commencent à être générés immédiatement
5. Vérifiez l'enregistrement à l'aide d'un outil de recherche DMARC après la publication

Structure de l'enregistrement DMARC

Chaque chaîne DMARC commence par v=DMARC1. Un enregistrement de base ressemble à ceci :

v=DMARC1 ; p=none ; rua=mailto:[email protected] ; ruf=mailto:[email protected] ;

Exigences supplémentaires en matière de DNS

Au-delà de l'enregistrement DMARC lui-même, les expéditeurs d'e-mails doivent s'assurer de la validité des enregistrements PTR en DNS PTR.

Les serveurs destinataires utilisent les enregistrements PTR pour vérifier que l'adresse IP d'où provient un message correspond bien au domaine d'origine. L'absence ou l'incohérence des enregistrements PTR constitue une cause fréquente, mais souvent négligée, d'échecs d'authentification.

La mise en œuvre de DMARC nécessite également la configuration d'enregistrements SPF DKIM pour chaque domaine émetteur pris individuellement. Les organisations qui gèrent plusieurs domaines pour différentes régions, différents produits ou différentes divisions doivent veiller à ce que les enregistrements d'authentification soient correctement configurés sur chacun d'entre eux.

Explication des niveaux de politique DMARC

Votre politique DMARC détermine ce qui se passe lorsqu'un e-mail échoue aux contrôles d'authentification. C'est le choix de la bonne politique à chaque étape de votre déploiement qui fait la différence entre une mise en œuvre sans heurts et une mise en œuvre qui bloque par inadvertance des e-mails légitimes.

L'approche recommandée pour le déploiement

• Commencez par p=none pour effectuer un audit sans affecter la délivrabilité des e-mails. Cela vous fournit les données nécessaires pour identifier chaque expéditeur légitime avant la mise en application.
• Déplacer versquarantine une fois que tous les expéditeurs légitimes ont été authentifiés et ont passé les contrôles de manière cohérente.
• Passer à p=reject pour une protection totale contre l'usurpation de domaine et les messages frauduleux.

Se précipiter pour rejeter un message sans avoir terminé la phase de surveillance est l'une des causes les plus courantes pour lesquelles les entreprises bloquent accidentellement leurs propres e-mails légitimes.

Comment surveiller et gérer DMARC à grande échelle

Le respect des exigences DMARC est un travail de longue haleine. Une surveillance constante, des rapports clairs et une infrastructure adaptée : voilà ce qui distingue les organisations qui restent conformes de celles qui retombent dans la vulnérabilité.

Comprendre vos rapports DMARC

DMARC permet de savoir quels serveurs envoient des e-mails en votre nom et quel pourcentage de ces messages réussit ou échoue à l'authentification. Ces données sont fournies sous la forme de deux types de rapports :

L'outil de rapport DMARC de PowerDMARC convertit les données brutes des rapports XML en tableaux de bord clairs et exploitables. Il permet de surveiller les résultats sur l'ensemble de vos domaines d'envoi sans avoir à convertit les données brutes des rapports XML en tableaux de bord clairs et exploitables. Il permet de surveiller les résultats sur l'ensemble de vos domaines d'envoi sans avoir à analyser manuellement des fichiers complexes.

Gestion des expéditeurs tiers

L'un des principaux défis liés à la mise en œuvre consiste à identifier et à authentifier tous les expéditeurs tiers qui envoient des e-mails en votre nom.

Les plateformes marketing, les CRM, les outils d'assistance et autres services envoient tous des messages sortants via votre domaine, et chacun d'entre eux doit être correctement authentifié avant que vous puissiez les mettre en quarantine les rejeter en toute sécurité.

Services gérés DMARC aident les organisations à identifier ces expéditeurs, à garantir une authentification adéquate sur tous les canaux de messagerie électronique et à réduire le temps et les ressources nécessaires pour atteindre la conformité totale.

Mise à l'échelle sur plusieurs domaines

Les entreprises gèrent de plus en plus souvent plusieurs domaines, ce qui rend indispensable une gestion centralisée. La mise à jour manuelle des enregistrements DMARC sur de nombreux domaines est source d'erreurs et mobilise d'importantes ressources.

Les solutions DMARC hébergées permettent aux organisations de gérer les enregistrements de manière centralisée, d'appliquer simultanément les modifications de politique à tous les domaines et de garder une vue d'ensemble de l'ensemble de leur infrastructure de messagerie à partir d'une interface unique.

Développer une expertise interne

Pour les équipes qui souhaitent développer un savoir-faire interne tout en s'appuyant sur des outils gérés, les formations PowerDMARC permettent de développer l'expertise nécessaire pour gérer efficacement l'authentification des e-mails au fil du temps.

De plus, ils aident les équipes à éviter les erreurs de configuration, qui constituent la cause la plus fréquente des échecs d'authentification.

Ce qu'une application rigoureuse permet de réaliser

Une fois que vous atteignez le niveau p=reject, DMARC ouvre la voie à BIMI (Brand Indicators for Message Identification), qui affiche le logo de votre marque directement dans la boîte de réception du destinataire.

Le BIMI est l'une des récompenses les plus visibles d'une mise en œuvre réussie du protocole DMARC et constitue un signal de confiance fort pour les expéditeurs à fort volume.

Pour les organisations qui souhaitent renforcer davantage leur infrastructure de messagerie, MTA-STS impose le chiffrement TLS pour les e-mails entrants, ajoutant ainsi une couche de protection supplémentaire à celle fournie par DMARC.

Respectez les exigences DMARC grâce à PowerDMARC

Les exigences DMARC ne cessent de se durcir. Google, Yahoo, Microsoft et PCI DSS ont tous fixé des limites claires, et les organisations qui ne s'y conforment pas en subissent déjà les conséquences : e-mails rejetés, réputation des expéditeurs ternie et domaines exposés.

Pour atteindre une conformité totale avec DMARC, il faut authentifier chaque source d'envoi, interpréter les rapports avec précision, gérer plusieurs domaines et passer par les différentes étapes de la politique sans perturber le courrier légitime. Cela représente une charge de travail considérable à gérer manuellement.

PowerDMARC simplifie l'ensemble du processus, depuis la création de votre premier enregistrement DNS TXT jusqu'à la mise en œuvre de la règle « p=reject » et bien au-delà.

Grâce à son service DMARC hébergé, à ses rapports automatisés, à ses services gérés et à une plateforme conçue pour offrir une visibilité à grande échelle, PowerDMARC vous apporte tout ce dont vous avez besoin pour répondre aux exigences actuelles et anticiper les évolutions à venir.

Commencez dès aujourd'hui avec PowerDMARC dès aujourd'hui.

FAQ

1. Quelles sont les conditions requises pour le DMARC ?

DMARC nécessite que SPF DKIM (de préférence les deux) soit configuré et aligné avec votre domaine. Vous devez publier une politique DMARC dans le DNS commençant par p=none, et configurer des adresses de notification pour recevoir les rapports d'authentification.

2. Le protocole DMARC est-il désormais obligatoire ?

À compter de février 2024, l'utilisation de DMARC sera obligatoire pour les expéditeurs de masse (plus de 5 000 e-mails par jour) vers Gmail et Yahoo. Les administrations publiques de nombreux pays imposent également l'utilisation de DMARC. Bien que cela ne soit pas obligatoire partout, son utilisation est vivement recommandée à toutes les organisations qui envoient des e-mails.

3. Le protocole DMARC nécessite-t-il l'utilisation de DKIM ?

DMARC exige que SPF DKIM soit validé, mais les deux sont recommandés. Bien qu'il soit techniquement possible de mettre en œuvre DMARC avec SPF seul, les principaux fournisseurs de messagerie comme Google et Yahoo exigent DKIM pour les expéditeurs en masse, ce qui rend les deux protocoles pratiquement indispensables.

4. À partir de quand le protocole DMARC est-il devenu obligatoire ?

Les exigences relatives au protocole DMARC ont été introduites pour la première fois par les agences fédérales américaines en 2017 (BOD 18-01). Google et Yahoo ont mis en place des exigences pour les expéditeurs en masse en février 2024. Plusieurs pays ont adopté des exigences DMARC entre 2020 et 2025, et leur application continue de s'étendre à l'échelle mondiale.

5. Combien de temps faut-il pour mettre en place le protocole DMARC ?

La mise en œuvre de DMARC prend généralement entre 4 et 12 semaines, selon la complexité du projet. La configuration initiale peut être effectuée en quelques jours, mais la surveillance, l'analyse et l'application progressive des règles nécessitent plusieurs semaines afin de garantir que la délivrabilité des e-mails ne soit pas affectée.

6. Que se passe-t-il si je ne mets pas en place le protocole DMARC ?

Sans DMARC, les envois massifs vers Gmail et Yahoo risquent d'être rejetés ou signalés comme spam. Votre domaine reste vulnérable aux attaques par usurpation d'identité, et vous pourriez rencontrer des problèmes de conformité dans les secteurs réglementés. La délivrabilité des e-mails et la réputation de l'expéditeur s'en trouveront probablement affectées.

• À propos de
• Derniers messages

Ahona Rudra

Expert en sécurité des domaines et des courriels chez PowerDMARC

Ahona est la responsable du marketing chez PowerDMARC, avec plus de 5 ans d'expérience dans l'écriture sur des sujets de cybersécurité, spécialisée dans la sécurité des domaines et des courriels. Ahona est titulaire d'un diplôme de troisième cycle en journalisme et communication, solidifiant sa carrière dans le secteur de la sécurité depuis 2019.

Derniers messages de Ahona Rudra (voir tous)

• Étude de cas DMARC pour les MSP : comment Digital Infinity IT Group a rationalisé la gestion DMARC et DKIM de ses clients grâce à PowerDMARC - 21 avril 2026
• Qu'est-ce que DANE ? Explication de l'authentification des entités nommées basée sur le DNS (2026) - 20 avril 2026
• Les bases de la sécurité VPN : les meilleures pratiques pour protéger votre vie privée - 14 avril 2026