Comment créer et publier un enregistrement DMARC ?

DMARC, ou Domain-based Message Authentication, Reporting and Conformance (authentification, rapport et conformité des messages basés sur le domaine), est un protocole technique permettant d'authentifier les messages sortants. DMARC sert de première ligne de défense contre diverses menaces liées aux e-mails, notamment hameçonnage et l'usurpation d'identité. 

Pour configurer DMARC, vous devez créer un enregistrement DMARC. L'enregistrement DMARC créé est un enregistrement TXT qui est ensuite publié sur votre DNS. Cela lance votre processus d'authentification des e-mails.

En configurant un enregistrement DMARC, vous permettez aux propriétaires de domaines d'indiquer aux destinataires comment ils doivent répondre aux e-mails envoyés à partir de sources non autorisées ou illégitimes.

Conseil d'expert de Maitham Al Lawati : « Pour les organisations du secteur de la santé ou de la finance, le protocole DMARC ne se résume pas à une simple question de sécurité. Il s'agit avant tout de respecter des exigences de conformité strictes. Commencez par la surveillance, puis passez à l'application. »

Ce guide vous explique comment créer et publier correctement un enregistrement DNS TXT DMARC, ainsi que comment le vérifier et résoudre les erreurs courantes.

Que sont les enregistrements DMARC ?

Un enregistrement DMARC est un enregistrement DNS TXT qui spécifie comment les serveurs de messagerie doivent traiter les messages qui échouent aux contrôles d'authentification (SPF DKIM).

Il aide les propriétaires de domaines à prévenir l'usurpation d'adresse e-mail et le phishing en indiquant aux serveurs destinataires s'ils doivent rejeter, quarantine ou autoriser les e-mails non autorisés.

Comment fonctionne DMARC ?

DMARC s'appuie sur deux protocoles d'authentification des e-mails existants : SPF Sender Policy Framework) et DKIM (DomainKeys Identified Mail). Voici le processus d'authentification étape par étape :

1. E-mail envoyé : Un e-mail prétendant provenir de votre domaine est envoyé
2. SPF : Le serveur destinataire vérifie si l'adresse IP de l'expéditeur est autorisée dans votre SPF
3. Vérification DKIM: Le serveur vérifie la signature DKIM par rapport à votre clé DKIM publiée
4. Évaluation DMARC : Le serveur vérifie votre politique DMARC et détermine la conformité
5. Application de la politique : En fonction de votre politique DMARC (aucune, quarantine, rejet), la mesure appropriée est prise
6. Rapports : Les résultats sont compilés et envoyés aux adresses de rapport que vous avez indiquées

Point clé : Pour qu'un e-mail passe l'authentification DMARC, il faut qu'au moins l'un des SPF DKIM soit validé ET qu'il soit correctement aligné avec le domaine indiqué dans l'en-tête « De ».

Anatomie d'un enregistrement DMARC

Il est essentiel de comprendre chaque balise DMARC pour une configuration correcte. Voici une description complète de tous les composants d'un enregistrement DMARC :

Exemples d'enregistrements DMARC

Voici des exemples concrets d'enregistrements DMARC pour différents cas d'utilisation. Copiez-les et personnalisez-les pour votre domaine :

Mode de surveillance de base (recommandé pour les débutants)

• v=DMARC1; p=none; rua=mailto:[email protected]
• Cas d'utilisation : mise en œuvre initiale mise en œuvre de DMARC pour la surveillance du trafic de messagerie sans application des règles.

Quarantine avec déclaration

• v=DMARC1 ;quarantine; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=25
• Cas d'utilisation : application progressive touchant 25 % des e-mails, avec rapports agrégés et analytiques.

Politique d'application stricte

• v=DMARC1 ; p=reject ; sp=reject ; rua=mailto:[email protected]; adkim=s; aspf=s
• Cas d'utilisation : protection complète avec alignement strict pour le domaine et les sous-domaines.

Protection des domaines non expéditeurs

• v=DMARC1 ; p=rejeter ; sp=rejeter ; adkim=s ; aspf=s
• Cas d'utilisation : domaines qui n'envoient pas d'e-mails mais qui ont besoin d'une protection contre l'usurpation d'identité.

Explication des balises DMARC

Tableau comparatif des politiques DMARC

1. Modes d'application de la politique DMARC

La politique DMARC définit la manière dont les destinataires doivent traiter les courriels qui échouent à l'authentification DMARC. Elle est désignée par "p". Elle peut avoir l'une des trois valeurs suivantes : 

• p=none : Ne prendre aucune mesure à l'encontre des e-mails non autorisés.
• p =quarantine: Pour signaler les e-mails suspects. 
• p=reject : pour bloquer les e-mails non autorisés avant qu'ils n'atteignent vos destinataires.

2. Options de rapport DMARC

• Rapports agrégés (rua=) : il s'agit de rapports récapitulatifs envoyés à l'adresse e-mail indiquée, présentant les résultats d'authentification pour tous les e-mails provenant du domaine.
• Rapports d'analyse (ruf=) : il s'agit de rapports détaillés envoyés lorsqu'un e-mail échoue à l'authentification DMARC.

3. Modes d'alignement DMARC

• SPF (aspf=) : détermine si le domaine de l'expéditeur figurant dans l'en-tête « From: » correspond à SPF . Il est possible de choisir entre un alignement strict (s), qui exige une correspondance exacte, et un alignement souple (r), qui autorise une correspondance au niveau de l'organisation. 
• Alignement DKIM (adkim=) : détermine si la signature DKIM correspond au domaine indiqué dans l'en-tête « From: ». Il est possible de choisir entre un alignement strict (s) pour une correspondance exacte ou un alignement souple (r) pour une correspondance au niveau de l'organisation. 

Comment fonctionne DMARC avec les sous-domaines

La balise « sp » (politique de sous-domaine) contrôle la manière dont les politiques DMARC s'appliquent aux sous-domaines. Si elle n'est pas spécifiée, les sous-domaines héritent de la politique du domaine principal.

• Héritage : les sous-domaines héritent automatiquement de la politique DMARC du domaine parent
• Remplacement : utilisez la balise « sp= » pour définir des règles différentes pour les sous-domaines
• Bonnes pratiques : définissez des règles plus strictes pour les sous-domaines qui n'envoient pas d'e-mails

Comment créer un enregistrement DMARC ?

Pour créer un enregistrement DNS DMARC pour votre domaine, assurez-vous que vous avez : 

1. a) un outil fiable pour générer l'enregistrement
2. b) accès à votre console de gestion DNS pour publier l'enregistrement

Suivez les étapes ci-dessous pour créer votre enregistrement :

1. Générer votre enregistrement DMARC 

Commencez votre essai gratuit de 15 jours de la solution de sécurité DMARC pour accéder à notre portail à l'aide d'une adresse e-mail ou inscrivez-vous à l'aide de Gmail/Office 365. Rendez-vous dans Outils d'analyse > PowerToolbox > Outil gratuit de génération d'enregistrements DMARC pour commencer à créer votre enregistrement DMARC.

2. Définissez une politique DMARC pour votre enregistrement DMARC.

Décider d'une politique DMARC en fonction du niveau d'application souhaité (aucun, quarantine ou rejet). Voici comment choisir votre politique d'enregistrement DMARC :

• Si vous souhaitez qu'aucune mesure ne soit prise contre les courriels non sollicités envoyés depuis votre domaine, choisissez "aucun".
• Si vous souhaitez quarantine courriels qui ne répondent pas aux critères DMARC, choisissez "quarantine".
• Si vous souhaitez rejeter ou écarter les courriels qui n'ont pas été authentifiés, ce qui peut minimiser les attaques par usurpation d'identité et par hameçonnage, choisissez "rejeter".

3. Configurer les champs optionnels de l'enregistrement DMARC recommandé 

Bien que tous les champs ne soient pas obligatoires, nous vous recommandons de configurer quelques champs facultatifs utiles dans votre enregistrement DMARC. Voyons de quoi il s'agit :

1. Champ de rapport agrégé (rua) : Si vous configurez le champ rua, vous recevrez les données d'authentification DMARC directement à votre adresse électronique. 
2. Champ de rapport forensique (ruf) : Obtenez des informations sur les incidents médico-légaux tels que les cyberattaques en configurant le champ ruf dans votre enregistrement DMARC. 
3. Modes d'alignement SPF " Choisissez si vous souhaitez opter pour un alignement détendu ou strict pour SPF et/ou DKIM.

Comment publier un enregistrement DMARC ?

Pour publier un enregistrement DMARC, il y a quelques conditions préalables : 

• Vous devez avoir accès à votre console de gestion DNS 
• Vous devez avoir l'autorisation de modifier et d'ajouter de nouveaux enregistrements DNS pour votre domaine.

Publier votre enregistrement DMARC avec cPanel

1. Accédez à votre console de gestion DNS cPanel
2. Dans la section « Domaines », cliquez sur « Éditeur de zone DNS » ou « Éditeur de zone avancé »

3. Ajoutez un enregistrement DMARC de type TXT (tex), en remplissant les informations comme indiqué ci-dessous. Dans le champ « Données TXT » ou « Valeur », vous devez coller votre enregistrement DMARC créé précédemment.

Publication d'un enregistrement DMARC avec Godaddy

1. Connectez-vous à votre portefeuille de domaines GoDaddy pour accéder à la zone DNS.
2. Sous Nom de domaine, recherchez et sélectionnez votre domaine d'envoi d'e-mails.
3. Sous votre nom de domaine, cliquez sur DNS
4. Sélectionnez maintenant Ajouter un nouvel enregistrement et commencez à publier votre enregistrement avec les détails suivants :

• Type : TXT
• Nom : _dmarc
• Valeur : collez la valeur de votre enregistrement DMARC

Publication d'un enregistrement DMARC avec Cloudflare 

1. Connectez-vous à votre compte Cloudflare.  
2. Sélectionnez le compte et le domaine souhaités.  
3. Naviguer vers DNS et cliquer sur Ajouter un enregistrement  
4. Collez l'enregistrement DMARC généré dans la section Ajouter un enregistrement, comme dans l'exemple ci-dessous :

Comment vérifier votre enregistrement DMARC

Une fois votre enregistrement DMARC publié, il est essentiel de vérifier qu'il fonctionne correctement. Voici la procédure de vérification étape par étape :

Liste de contrôle étape par étape pour la vérification des enregistrements DMARC

1. Utilisez des outils de recherche DNS : Vérifiez si votre enregistrement DMARC est correctement publié à l'aide d'outils tels que nslookup ou dig
2. Vérifier la syntaxe : Utilisez des validateurs DMARC en ligne pour vérifier l'absence d'erreurs de syntaxe
3. Test de l'authentification des e-mails : Envoyez des e-mails de test et vérifiez les en-têtes pour obtenir les résultats DMARC
4. Rapports de surveillance : Attendez les rapports DMARC pour vérifier le bon fonctionnement
5. Vérifier plusieurs serveurs DNS : Vérifier la propagation sur différents serveurs DNS à l'échelle mondiale

Outils de validation DMARC recommandés

• PowerDMARC DMARC Checker : Outil de validation complet et gratuit
• Recherche DMARC avec MXToolbox : Vérification rapide des enregistrements DNS
• Boîte à outils d'administration Google : Outil Dig pour l'inspection des enregistrements DNS

Voici pourquoi plus de 10 000 clients font confiance à PowerDMARC : veille des menaces basée sur l'IA, accompagnement personnalisé, conformité SOC 2/ISO 27001 et gestion automatisée de plusieurs domaines

• Réduction considérable des tentatives d'usurpation d'identité et des e-mails non autorisés
• Intégration plus rapide + gestion automatisée de l'authentification
• Renseignements et rapports en temps réel sur les menaces dans tous les domaines
• Meilleurs taux de livraison des e-mails grâce à une application stricte du protocole DMARC

Les 15 premiers jours sont offerts

Commencez votre essai gratuit de 15 jours de la solution de sécurité DMARC

Vérification de votre enregistrement DMARC

Pour vérifier votre enregistrement DMARC et éviter l'erreur courante erreur courante « Aucun enregistrement DMARC trouvé » , vous pouvez utiliser notre outil de vérification gratuit.

1. Inscrivez-vous gratuitement, puis accédez à Outils d'analyse > PowerToolbox > Outil de vérification des enregistrements DMARC

2. Examinez l'état, la syntaxe et les balises de votre enregistrement DMARC afin de détecter toute erreur éventuelle.

Prêt à vérifier votre enregistrement DMARC ? Utilisez l'outil gratuit DMARC Checker de PowerDMARC.

Erreurs courantes à éviter dans les enregistrements DMARC

Évitez ces erreurs de configuration courantes de DMARC qui peuvent compromettre la sécurité et la délivrabilité de vos e-mails:

1. Erreurs de syntaxe et de configuration

• Points-virgules manquants : Chaque balise doit être séparée par des points-virgules
• Espaces superflus : Évitez les espaces inutiles autour des balises et des valeurs
• Version incorrecte : Utilisez toujours « v=DMARC1 » (et non v=DMARC2 ou similaire)
• Adresses e-mail non valides : Assurez-vous que les adresses de signalement sont valides et accessibles

2. Erreurs dans la mise en œuvre des politiques

• Passer trop rapidement à p=reject : Commencez par p=none pour la surveillance
• Ne pas configurer d'abord SPF et DKIM : DMARC nécessite la mise en place de ces protocoles
• Ignorer les règles relatives aux sous-domaines : Envisagez de définir des valeurs sp= appropriées

3. Erreurs dans la gestion des dossiers

• Enregistrements DMARC multiples : Un seul enregistrement DMARC par domaine est autorisé
• Nom d'enregistrement DNS incorrect : Doit être exactement « _dmarc.votredomaine.com »
• Type d'enregistrement incorrect : Doit être de type TXT

4. Lacunes en matière de suivi et de communication d'informations

• Absence de configuration des rapports : L'absence de la balise rua= empêche la visibilité sur l'authentification des e-mails
• Ignorer les rapports DMARC : Les rapports contiennent des informations cruciales en matière de sécurité
• Utilisation d'adresses de signalement inaccessibles : assurez-vous de pouvoir recevoir et traiter les signalements

Dépannage des erreurs courantes liées aux enregistrements DMARC

Utilisez cette liste de contrôle étape par étape pour résoudre les problèmes courants liés aux enregistrements DMARC :

Erreurs courantes dans les enregistrements DMARC

Une fois que vous avez détecté des erreurs dans votre enregistrement, vous devez apporter les modifications nécessaires à votre DNS et enregistrer les changements. Vous pouvez revérifier votre enregistrement une fois que les modifications ont été effectuées.

Comprendre les rapports DMARC

Les rapports DMARC fournissent des informations essentielles sur les performances de votre système d'authentification des e-mails et sur les menaces potentielles pour la sécurité. Voici ce que vous devez savoir :

Types de rapports DMARC

1. Rapports agrégés (RUA)

• Fréquence : Résumés quotidiens de tous les résultats d'authentification des e-mails
• Contenu : Statistiques de volume, résultats d'authentification, adresses IP sources
• Cas d'utilisation : Surveiller l'état général de l'authentification des e-mails et identifier les tendances

2. Rapports d'expertise (RUF)

• Fréquence : Rapports en temps réel sur les échecs d'authentification
• Contenu : En-têtes d'e-mails détaillés et motifs d'échec de l'authentification
• Cas d'utilisation : Enquêter sur des échecs d'authentification spécifiques et des attaques potentielles

Comment interpréter les rapports DMARC

Indicateurs clés à surveiller :

• Taux de réussite DMARC : Pourcentage d'e-mails ayant réussi l'authentification DMARC
• AlignementSPF: Dans quelle mesure vos protocoles d'authentification sont-ils alignés ?
• Analyse des sources : Identifier les sources d'envoi légitimes par opposition aux sources suspectes
• Impact des politiques : Effets des politiques de quarantine sur la distribution des e-mails

Utiliser les rapports pour renforcer la sécurité des e-mails

1. Identifier les expéditeurs légitimes : Assurez-vous que toutes les sources de messagerie autorisées sont correctement configurées
2. Détecter les tentatives d'usurpation d'identité : Surveillez toute utilisation non autorisée de votre domaine
3. Optimiser l'authentification : Résoudre les problèmes d'alignement SPF DKIM
4. Mise en œuvre progressive des mesures : Utilisez les données pour passer en toute sécurité de la surveillance à l'application

Enregistrement DMARC pour les domaines non expéditeurs 

La plupart des gens se contentent de sécuriser leurs domaines actifs, mais les pirates peuvent usurper l'identité de vos domaines non émetteurs pour envoyer de faux e-mails en votre nom ! Pour éviter cela, voici les étapes à suivre pour mettre en place DMARC pour vos domaines non émetteurs: 

• Publiez un enregistrement DMARC non permissif : commencez par publier un enregistrement DMARC pour le domaine inactif avec une politique stricte, telle que p=reject. 
• Activer les rapports (recommandé) : même si votre domaine n'envoie pas d'e-mails, des pirates peuvent tout de même l'usurper pour envoyer des messages de phishing. Les rapports DMARC vous alertent lorsque cela se produit.
• Publiez un SPF restrictif : définissez v=spf1 -all pour empêcher l'envoi d'e-mails.
• Désactiver les services de messagerie intégrés : si le domaine est toujours associé à des serveurs de messagerie externes, il peut être judicieux de les désactiver si le domaine n'est plus utilisé. 

Conséquences de la non-sécurisation de vos domaines inactifs 

Le fait de ne pas mettre en œuvre DMARC pour vos domaines non expéditeurs peut avoir diverses conséquences, telles que 

• Risque accru d'attaques par spoofing et phishing 
• Atteinte à la réputation de la marque et du domaine 
• Abus de domaine passant inaperçu pendant de longues périodes

Un seul enregistrement DMARC par domaine

Lors de la configuration de votre enregistrement DMARC, il est important de publier une seule entrée d'enregistrement par domaine. Plusieurs enregistrements DMARC pour un même domaine peuvent entraîner des conflits et des échecs d'authentification injustifiés ! 

Pourquoi les enregistrements DMARC multiples posent-ils problème ?

1. Échecs d'authentification des e-mails : il se peut que les destinataires ne sachent pas quelle entrée DMARC appliquer.
2. Erreurs de configuration et incohérences : des règles contradictoires (par exemple, une entrée utilisant p=none et une autre p=reject) entraînent une application imprévisible.
3. Rapports inexacts : les rapports DMARC peuvent être incomplets ou peu fiables.

Bonnes pratiques pour une mise en œuvre correcte de DMARC

Pour garantir une configuration correcte configuration de l'enregistrement DMARC, voici les bonnes pratiques à suivre pour la mise en œuvre : 

• Publier un seul enregistrement DMARC par domaine.
• Évitez de configurer l'option DMARC sp à moins que vous ne souhaitiez que vos sous-domaines aient une politique différente.
• Utiliser un outil de vérification outil de vérification DMARC pour valider votre enregistrement après l'avoir publié.
• Surveillez régulièrement vos rapports DMARC pour vous assurer que les activités suspectes ne passent pas inaperçues. 

Etapes suivantes après la publication d'un enregistrement DMARC

Une fois que vous avez publié votre enregistrement DMARC, la prochaine étape consiste à protéger votre domaine contre les escrocs et les usurpateurs d'identité. C'est votre principal objectif lorsque vous mettez en œuvre des protocoles de sécurité et des services d'authentification des courriels. 

Le simple fait de publier un enregistrement DMARC avec une politique p=none n'offre aucune protection contre l'usurpation de domaine et la fraude par e-mail. Pour cela, vous devez passer à l' application de DMARC.

Pour passer à l'application de DMARC, une approche progressive est la meilleure façon d'obtenir des résultats idéaux sans impact négatif sur votre délivrabilité. Voici un processus étape par étape que vous pouvez suivre :

• Commencez par une politique p=none, qui est votre mode de surveillance. 
• Activez les rapports DMARC pour votre domaine afin d' analyser le trafic et la délivrabilité de vos e-mails et sa délivrabilité. 
• Passez en quarantine, en maintenant le pct (pourcentage) à 10, et augmentez-le progressivement jusqu'à 100 % sur une période de deux semaines.
• Une fois que vous êtes sûr de votre configuration, passez à p=reject, en maintenant pct sur le pourcentage le plus bas, puis en augmentant progressivement jusqu'à l'application complète pour 100 % de votre volume de courrier. 

Comment simplifier la gestion des enregistrements DMARC

Pour les organisations gérant plusieurs domaines, ou simplement celles qui souhaitent s'épargner la peine de configurer et de gérer manuellement les enregistrements DMARC, des solutions spécialisées permettent d'automatiser la gestion de ces enregistrements à partir d'une plateforme unique. Grâce à une technologie de veille des menaces basée sur l'IA et à des rapports détaillés, PowerDMARC aide plus de 2 000 clients à travers le monde à simplifier leur transition vers DMARC. 

Les solutions professionnelles de gestion DMARC offrent :

• Gestion multi-domaines et multi-clients à partir d'un seul tableau de bord
• Une prise en main sur mesure et une assistance par des experts
• Certifié conforme aux normes SOC2, ISO27001 et RGPD

Pour commencer, profitez d'un essai gratuit Essayez gratuitement la protection DMARC pendant 15 jours de la plateforme dès aujourd'hui ! 

Foire aux questions sur les enregistrements DMARC

1. Comment créer un enregistrement DMARC pour mon domaine ?

Pour créer un enregistrement DMARC : 1) Générez votre enregistrement DMARC à l'aide d'un outil tel que le générateur de PowerDMARC, 2) Accédez à votre console de gestion DNS, 3) Créez un nouvel enregistrement TXT nommé « _dmarc » et collez-y votre enregistrement DMARC, 4) Enregistrez les modifications et attendez la propagation du DNS (jusqu'à 48 heures).

2. Que se passe-t-il si je n'ai pas d'enregistrement DMARC ?

Sans enregistrement DMARC, votre domaine est vulnérable aux attaques par usurpation d'identité et hameçonnage. Les fournisseurs de messagerie électronique tels que Gmail et Yahoo peuvent rejeter les e-mails provenant d'expéditeurs en masse sans DMARC. La réputation de votre domaine peut être compromise par une utilisation non autorisée, et vous n'aurez aucune visibilité sur les échecs d'authentification des e-mails.

3. Comment puis-je réussir la vérification DMARC ?

Pour réussir la vérification DMARC : 1) Assurez-vous que SPF DKIM sont correctement configurés, 2) Vérifiez que le domaine indiqué dans l'en-tête « From: » correspond bien aux domaines SPF, 3) Utilisez une politique DMARC qui autorise les e-mails légitimes (commencez par p=none), 4) Surveillez les rapports DMARC pour identifier et résoudre les problèmes d'authentification.

4. À quoi ressemble un enregistrement DMARC type ?

Un enregistrement DMARC de base est publié sous la forme d'un enregistrement DNS TXT à l'adresse _dmarc.votredomaine.com et fonctionne généralement en mode surveillance au départ. Voici un exemple courant :

v=DMARC1; p=none; rua=mailto:[email protected]

Ce que cela fait :

• v=DMARC1 indique que l'enregistrement correspond à une politique DMARC.
• p=none permet la surveillance sans bloquer les e-mails.
• rua indique où sont envoyés les rapports DMARC agrégés.

Cette configuration vous permet de surveiller les résultats de l'authentification et de détecter les tentatives d'usurpation d'identité sans perturber la distribution des e-mails. Une fois que vous aurez examiné les rapports et vérifié que tous les expéditeurs légitimes sont bien identifiés, vous pourrez progressivement passer aux optionsquarantine p=reject pour appliquer ces mesures.

• À propos de
• Derniers messages

Maitham Al Lawati

Expert en cybersécurité, PDG de PowerDMARC

Maitham est un entrepreneur technologique, expert en cybersécurité, PDG et fondateur de PowerDMARC avec plus de 15 ans d'expérience dans l'industrie. Maitham est titulaire d'un Global MBA de l'Université de Manchester et de diverses certifications professionnelles, notamment CISSP, CISM, CRISC et ISC2 CCSP.

Derniers messages de Maitham Al Lawati (voir tous)

• Statistiques sur le phishing et le DMARC : tendances 2026 en matière de sécurité des e-mails - 6 janvier 2026
• Comment corriger « Aucun SPF trouvé » en 2026 - 3 janvier 2026
• SPF : comment corriger un nombre trop élevé de requêtes DNS - 24 décembre 2025