Comment mettre en œuvre DMARC : guide de mise en œuvre étape par étape

L'e-mail reste le premier moyen utilisé par la plupart des pirates lorsqu'ils souhaitent usurper l'identité d'une marque. Si votre domaine n'est pas protégé, n'importe qui peut envoyer des e-mails semblant provenir de vous, et vos clients n'ont aucun moyen fiable de faire la différence. Apprendre à mettre en œuvre DMARC est le moyen le plus direct de combler cette faille. Ce guide vous explique étape par étape comment mettre en œuvre DMARC, notamment la configuration DNS pour Google Workspace, Microsoft 365, GoDaddy et Cloudflare, ainsi que la manière de passer en toute sécurité de la phase de surveillance à celle d'application complète.

Vous pouvez mettre en œuvre DMARC manuellement en modifiant vous-même vos enregistrements DNS, ou automatiser l'ensemble du processus avec PowerDMARC et gérer toutes vos politiques depuis un seul tableau de bord. Ce guide présente en détail la procédure manuelle et met en évidence les cas où l'automatisation vous permet de gagner du temps.

À lire également : Guide de configuration de DMARC

Ce dont vous avez besoin avant de mettre en œuvre DMARC

DMARC n'authentifie pas les e-mails de manière autonome. Il s'appuie sur SPF DKIM et vérifie qu'au moins l'un d'entre eux est valide et correspond au domaine indiqué dans votre champ « De ». C'est pourquoi trois conditions doivent être remplies avant de publier une politique.

• Accès à votre DNS: vous publiez l'enregistrement DMARC sous la forme d'un enregistrement DNS de type TXT; vous devez donc disposer d'un accès avec identifiant et mot de passe à l'environnement où votre DNS est géré, qu'il s'agisse de votre registraire, d'un hébergeur ou d'un service tel que Cloudflare.
• Un SPF valide: SPF les serveurs et les services autorisés à envoyer des e-mails au nom de votre domaine. Si vous envoyez des e-mails via Google Workspace, par exemple, votre enregistrement doit inclure : _spf.google.com.
• Signature DKIM activée: le protocole DKIM ajoute une signature cryptographique à vos e-mails sortants afin que les destinataires puissent vérifier qu'ils n'ont pas été modifiés pendant leur acheminement et qu'ils proviennent bien de votre domaine.

Ensemble, ces éléments vous permettent de mettre en place SPF, DKIM et DMARC pour former une pile d'authentification complète. Une fois que SPF DKIM auront correctement signé vos e-mails pendant quelques jours, vous serez prêt à ajouter DMARC à cette configuration.

Comment mettre en œuvre DMARC étape par étape

Le processus de base est le même sur toutes les plateformes. Voici les sept étapes qui vous permettront de passer d'une situation de départ à une politique surveillée et appliquée.

Étape 1 : Vérifiez que les protocoles SPF DKIM sont bien actifs

Vérifiez que votre SPF existe bien et qu'il répertorie tous les services qui envoient des e-mails en votre nom, et que le protocole DKIM est activé et effectue la signature. Vous pouvez vérifier ces deux points à l'aide de nos outils SPF et DKIM Checker. Laissez-leur au moins 48 heures pour effectuer des signatures sans incident avant d'activer DMARC, afin que les destinataires évaluent des e-mails déjà authentifiés plutôt que des enregistrements qu'ils viennent tout juste de découvrir.

Étape 2 : Déterminez où seront stockés les rapports

DMARC vous envoie des rapports agrégés sous forme de fichiers XML. Choisissez une boîte mail dédiée ou un groupe pour les recevoir, par exemple [email protected], plutôt que de les acheminer vers une boîte de réception personnelle où ils s'accumuleront sans être lus. Cette adresse doit être indiquée dans la balise « rua » de votre enregistrement.

Étape 3 : Générer votre enregistrement DMARC

Créez l'enregistrement à l'aide de notre outil gratuit « DMARC Record Generator ».

Un enregistrement de débutant se présente comme suit :

v=DMARC1 ; p=none ; rua=mailto:[email protected] ; adkim=r ; aspf=r

Voici à quoi sert chaque balise :

• v=DMARC1 correspond à la version et doit toujours figurer en premier.
• La valeur « p=none » indique aux récepteurs de ne prendre aucune mesure pour l'instant et de se contenter d'envoyer des rapports. Il s'agit de votre politique de surveillance.
• rua= est l'endroit où sont transmis les rapports agrégés.
• Les paramètres `adkim=r` et `aspf=r` définissent un alignement « relaxed », qui permet aux sous-domaines de s'aligner sur votre domaine principal. Le mode « relaxed » convient à la plupart des configurations ; le mode « strict » (s) exige une correspondance exacte et entraîne souvent des problèmes avec les expéditeurs tiers.

Remarque concernant les enregistrements plus récents

The pct, rf and ri tags that older guides show have been deprecated by RFC 9989, the updated DMARC standard published in May 2026. Existing records that still use them keep working, because receivers ignore unknown tags, but you should leave them out of new records. To roll out a policy gradually under the new standard, use test mode (t=y) instead of pct. More on that in the roadmap section below.

Étape 4 : Publiez l'enregistrement dans votre DNS

Ajoutez l'enregistrement généré en tant qu'enregistrement TXT avec le nom d'hôte _dmarc (afin qu'il soit résolu en _dmarc.votredomaine.com). Collez la chaîne de politique complète dans le champ « Valeur » ou « Contenu », puis enregistrez. Vous trouverez les instructions spécifiques à chaque fournisseur dans la section suivante.

Étape 5 : Vérifiez que l'enregistrement est bien en ligne

La propagation des modifications DNS peut prendre entre quelques minutes et 48 heures. Une fois la propagation effectuée, lancez notre outil DMARC Checker pour vérifier que l'enregistrement a bien été publié et qu'il ne renvoie aucune erreur de syntaxe.

Étape 6 : Suivez l'évolution et consultez vos rapports

Une fois le paramètre p=none configuré, les rapports agrégés commencent à arriver à votre adresse RUA. Ils vous indiquent toutes les sources qui envoient des e-mails au nom de votre domaine et précisent si chacune d'entre elles respecte SPF DKIM. Le format XML brut étant difficile à lire, PowerDMARC l'analyse pour le présenter sous forme de tableaux et de graphiques clairs sur le tableau de bord DMARC Report Analyzer, ce qui facilite considérablement l'identification des problèmes de délivrabilité et des échecs d'authentification.

Étape 7 : Passer à la mise en application

Une fois que vos rapports indiquent systématiquement que tous vos expéditeurs légitimes passent l'authentification avec succès, renforcez la politique en passant de « aucune action » à « quarantine », puis, à terme, à « rejet ». L'adoption d'une solution DMARC hébergée permet de simplifier et d'automatiser la mise en œuvre de cette politique, sans nuire à la délivrabilité des e-mails. Continuez à utiliser DMARC Analyzer par la suite afin de détecter toute nouvelle source d'envoi ou tentative d'usurpation dès son apparition.

Comment mettre en œuvre DMARC chez les principaux fournisseurs

L'enregistrement en lui-même est identique partout. Ce qui change, c'est l'endroit où vous le collez et, chez certains fournisseurs, l'emplacement où se trouve le DKIM. Voici un aperçu des quatre plateformes les plus courantes.

Google Workspace (Gmail)

DMARC n'est pas configuré dans la console d'administration Google. Vous pouvez y activer DKIM, mais l'enregistrement lui-même est publié chez votre hébergeur de domaine.

• Activez DKIM dans la console d'administration, sous « Applications » > « Google Workspace » > « Gmail » > « Authentification des e-mails ».
• Vérifiez que votre SPF inclut _spf.google.com.
• Connectez-vous à votre hébergeur de domaine et ajoutez un enregistrement TXT nommé _dmarc dont la valeur correspond à votre chaîne de politique.
• Enregistrez l'enregistrement et vérifiez-le à l'aide de l'outil DMARC Checker.

Pour un guide détaillé, consultez la procédure de configuration de DMARC pour Google Workspace (Gmail).

Microsoft 365 / Outlook

Microsoft gère le protocole DKIM à l'aide de deux enregistrements CNAME plutôt que d'un enregistrement TXT ; l'ordre des étapes est donc important dans ce cas.

• Vérifiez que votre SPF inclut spf.protection.outlook.com.
• Publiez les deux enregistrements CNAME DKIM et attendez qu'ils soient mis à jour.
• Activez la signature DKIM dans le portail Microsoft Defender, sous « Courrier électronique et collaboration » > « Stratégies et règles » > « Stratégies de protection contre les menaces » > « DKIM ». N'activez le bouton bascule qu'une fois que les enregistrements CNAME se sont propagés, car une activation prématurée entraînerait une erreur de vérification.
• Ajoutez l'enregistrement TXT DMARC nommé _dmarc chez votre hébergeur DNS.
• Vérifiez l'enregistrement à l'aide de l'outil DMARC Checker.

Pour obtenir des instructions détaillées, consultez la guide sur la configuration de DMARC pour Microsoft 365.

GoDaddy

• Connectez-vous à GoDaddy et ouvrez la rubrique « Mes produits ».
• Sélectionnez « DNS » ou « Gérer le DNS » pour votre domaine.
• Dans la section « Enregistrements », cliquez sur « Ajouter » et sélectionnez « TXT » comme type.
• Saisissez _dmarc comme nom et collez votre politique dans le champ « Valeur ».
• Enregistrez et patientez jusqu'à 48 heures pour que les modifications soient prises en compte.

Si un enregistrement DMARC existe déjà, modifiez-le plutôt que d'en ajouter un deuxième, car un domaine ne doit en posséder qu'un seul.

Pour un guide détaillé, consultez la procédure de configuration de DMARC pour GoDaddy.

Cloudflare

• Connectez-vous au tableau de bord Cloudflare et sélectionnez votre domaine.
• Ouvrez l'onglet « DNS » et cliquez sur « Ajouter un enregistrement ».
• Sélectionnez « TXT » comme type et saisissez « _dmarc » comme nom.
• Collez votre politique dans le champ de contenu, puis enregistrez.

La propagation sur Cloudflare est généralement rapide, souvent inférieure à cinq minutes.

Pour un guide détaillé, consultez la procédure de configuration de DMARC pour Cloudflare.

La mise en œuvre de DMARC est terminée. Et maintenant ?

La publication de l'enregistrement n'est qu'un début, pas une fin en soi. La manière la plus sûre d'atteindre le statut « p=reject » consiste à procéder à un déploiement progressif, en vous accordant suffisamment de temps de surveillance à chaque étape pour repérer les expéditeurs légitimes avant qu'ils ne soient bloqués.

Conformément à la RFC 9989, l'ancienne approche consistant à faire passer progressivement la balise « pct » de 25 à 100 a été abandonnée. Si vous souhaitez tester une politique plus stricte sans encore prendre de mesures en cas d'échec, publiez votre politique cible avec la balise de mode test « t=y », examinez les rapports, puis supprimez la balise ou définissez « t=n » lorsque vous êtes prêt à appliquer la politique de manière effective.

Meilleures pratiques pour la mise en œuvre de DMARC

• Surveillez avant d'appliquer la règle: ne vous précipitez jamais pour rejeter un message. Passez suffisamment de temps avec le paramètre p=none afin d'identifier au préalable tous les expéditeurs légitimes.
• Surveillez la cohérence, ne vous contentez pas d'un simple « réussi » ou « échoué »: une source peut satisfaire aux critères SPF DKIM tout en échouant au test DMARC si le domaine authentifié ne correspond pas à votre domaine « De ». Les rapports vous indiquent ces deux éléments.
• Définir une politique pour les sous-domaines: utilisez la balise « sp » si vous souhaitez que les sous-domaines suivent une politique différente de celle de votre domaine principal. Sans cette balise, ils héritent de la politique du domaine parent.
• Utilisez une adresse dédiée aux signalements: ne les envoyez pas dans votre boîte de réception personnelle afin qu'ils soient bel et bien examinés.
• Poursuivre la surveillance après la mise en œuvre: de nouveaux outils marketing, systèmes CRM et fournisseurs s'ajoutent au fil du temps, et chacun d'entre eux constitue une nouvelle source d'envoi qui doit être authentifiée.

Problèmes courants liés à la mise en œuvre de DMARC (et leurs solutions)

La mise en œuvre de DMARC ne garantit pas automatiquement que tout fonctionnera sans accroc pour toujours. Vous trouverez ci-dessous quelques difficultés courantes liées à la mise en œuvre de DMARC, ainsi que des solutions simples pour y remédier sans nécessiter d'expertise technique :

1. Dépassement de la limite de SPF

Cause: SPF au maximum 10 requêtes DNS, et l'enchaînement de plusieurs instructions « include: » dépasse cette limite, ce qui provoque une erreur « PermError ».

Solution: optimisez votre enregistrement grâce à la solution SPF hébergée de PowerDMARC afin qu’il soit résolu de manière dynamique tout en respectant la limite.

2. Le transfert de messages enfreint SPF

Cause: lors du transfert d'un e-mail, l'adresse IP de l'expéditeur change, ce qui entraîne SPF du côté du destinataire.

Solution: utilisez DKIM en complément de SPF, car une signature DKIM valide résiste généralement au transfert et permet de conserver un statut « passing » pour DMARC.

3. Incohérences d'alignement DKIM

Cause: un expéditeur tiers utilise son propre domaine pour signer le message au lieu du vôtre ; la signature est donc validée, mais ne correspond pas à votre domaine « De ».

Solution: configurez un DKIM personnalisé avec le fournisseur afin que le domaine de signature corresponde au vôtre.

4. Appliquer la loi trop rapidement

Raison: le fait de passer en mode « Rejeter » avant que vos rapports ne soient validés bloque les expéditeurs légitimes qui n'ont pas encore été confirmés.

Solution: Respectez le calendrier par étapes et ne renforcez la politique qu’une fois que les rapports auront confirmé que tous les e-mails légitimes sont bien acheminés.

5. Enregistrements SPF DMARC multiples

Cause: un domaine ne peut comporter qu'un seul SPF et un seul enregistrement DMARC ; toute duplication entraîne l'échec de l'authentification.

Solution: fusionner plusieurs SPF en un seul et conserver un seul enregistrement DMARC.

Mettez en œuvre DMARC plus rapidement avec PowerDMARC

La publication d'un rapport n'est qu'une première étape. Suivre de près les rapports, repérer les nouveaux expéditeurs et transmettre ces informations en toute sécurité aux autorités compétentes : voilà où réside l'essentiel du travail au quotidien, et c'est précisément ce dont PowerDMARC se charge pour vous.

• Les rapports agrégés sont convertis à partir de fichiers XML complexes en tableaux et graphiques clairs, ce qui vous permet de visualiser d'un seul coup d'œil la situation.
• Les rapports d'expertise sont chiffrés à l'aide de votre propre clé privée, à laquelle même nous n'avons pas accès.
• Les rapports PDF programmés peuvent être générés automatiquement ou à la demande afin d'être partagés avec votre équipe.
• La plateforme intègre les protocoles BIMI, MTA-STS et TLS-RPT, en plus de l'authentification standard.
• SPF et la gestion des erreurs vous permettent d'éviter la limite de 10 requêtes et d'autres erreurs de configuration courantes.

Prêt à protéger votre domaine ? Commencez un essai gratuit ou réservez une démonstration avec PowerDMARC et mettez en place votre politique de sécurité sans bloquer le moindre e-mail légitime.

Foire aux questions

La mise en place et la gestion de DMARC sont-elles difficiles ?

Pour DMARC, la configuration initiale est simple : il suffit de vérifier la validité SPF DKIM, de générer un enregistrement et de publier une entrée TXT dans votre DNS. Le plus difficile réside dans la gestion au quotidien, l'analyse des rapports et la mise en œuvre sécurisée des mesures de conformité ; c'est là qu'un outil automatisé permet d'éliminer la majeure partie du travail manuel.

Comment fonctionne le protocole DMARC, en termes simples ?

DMARC vérifie qu'un e-mail entrant respecte SPF DKIM et que le domaine authentifié correspond bien à celui indiqué dans le champ « De ». Si l'un ou l'autre ne correspond pas, DMARC demande au destinataire de surveiller, de quarantine ou de rejeter le message, selon la politique que vous avez définie.

Combien de temps faut-il pour mettre en œuvre DMARC ?

La publication d'un enregistrement DMARC ne prend que quelques minutes, mais la propagation via le DNS peut prendre jusqu'à 48 heures. La mise en œuvre complète de cette mesure en toute sécurité prend généralement entre quatre et douze semaines, car il faut disposer d'une période de surveillance suffisante pour s'assurer que tous les expéditeurs légitimes sont acceptés avant de passer au rejet.

Puis-je mettre en place DMARC moi-même ?

Oui. Si vous disposez d'un accès DNS et d'enregistrements SPF DKIM opérationnels, vous pouvez publier vous-même un enregistrement DMARC en suivant les étapes décrites ci-dessus. De nombreuses organisations commencent par une configuration manuelle, puis adoptent un outil géré lorsque le volume de rapports augmente.

• À propos de
• Derniers messages

Ahona Rudra

Expert en sécurité des domaines et des e-mails chez PowerDMARC

Ahona est la responsable du marketing chez PowerDMARC, avec plus de 5 ans d'expérience dans l'écriture sur des sujets de cybersécurité, spécialisée dans la sécurité des domaines et des courriels. Ahona est titulaire d'un diplôme de troisième cycle en journalisme et communication, solidifiant sa carrière dans le secteur de la sécurité depuis 2019.

Derniers messages de Ahona Rudra (voir tous)

• Comment réaliser une analyse des e-mails (Guide 2026) - 28 juillet 2026
• Présentation des alertes de détournement DNS : combler les lacunes que le protocole DMARC ne peut pas couvrir - 27 juillet 2026
• Les meilleurs outils DMARC basés sur l'IA en 2026 : quels fournisseurs utilisent réellement l'IA (et comment) - 27 juillet 2026