Guide de configuration DMARC : comment configurer DMARC en 2025 (sans interruption de messagerie)

Seulement 53,8 % des entreprises dans le monde disposent d'une configuration DMARC sur leur domaine, ce qui laisse les autres vulnérables aux menaces par courrier électronique.

L'authentification des e-mails est votre première ligne de défense. DMARC, SPF et DKIM sont des protocoles d'authentification qui contribuent à prévenir l'usurpation d'adresse et les attaques de phishing. SPF garantit que seules les adresses IP autorisées peuvent envoyer des messages en votre nom, DKIM ajoute une signature numérique pour vérifier l'intégrité des messages, et DMARC s'appuie sur ces deux protocoles pour indiquer aux serveurs de réception comment gérer les e-mails qui échouent à ces vérifications. Sans DMARC, même les domaines dotés de SPF et DKIM peuvent être usurpés.

Évitez les tracas, configurez DMARC en quelques minutes à l'aide de PowerDMARC et protégez votre domaine dès aujourd'hui !

Conditions préalables à la configuration de DMARC

Avant de passer au processus d'installation de DMARC, assurez-vous d'avoir mis en place les éléments suivants :

1. Accès à votre console de gestion DNS : Ceci est essentiel pour créer et publier des enregistrements DNS.
2. Liste des expéditeurs d'e-mails autorisés : identifiez tous les services et serveurs qui envoient des e-mails en votre nom pour éviter tout blocage involontaire.
3. Enregistrement SPF et/ou DKIM existant dans votre DNS : au moins un de ces enregistrements doit déjà être configuré dans votre DNS, car DMARC s'appuie sur eux pour l'authentification des e-mails. SPF (Sender Policy Framework) indique au serveur de réception de quel domaine l'e-mail doit provenir, tandis que DKIM (DomainKeys Identified Mail) est une méthode de signature numérique des e-mails pour vérifier l'authenticité de l'expéditeur.

Attention : si vous ignorez SPF/DKIM, DMARC ne fonctionnera pas. Assurez-vous d'avoir correctement configuré l'un ou l'autre, ou idéalement les deux, avant de passer aux étapes suivantes.

Configuration DMARC étape par étape

Pour démarrer votre installation DMARC DNS, suivez les étapes d'installation indiquées ci-dessous :

Étape 1 : Création de l'enregistrement DMARC

Vous commencez par créer un enregistrement DNS TXT qui définit votre politique et établit la mise en œuvre. Cet enregistrement est ajouté au fichier de zone DNS de votre domaine.

Pour créer un enregistrement gratuit, utilisez notre outil de génération DMARC comme illustré dans la capture d'écran ci-dessus. Une fois l'outil ouvert, vous devrez remplir certains critères obligatoires.

Simplifiez l'installation de DMARC avec PowerDMARC !

Étape 2 : Choisir une politique DMARC adaptée à vos courriels

La balise p= policy est une balise obligatoire qui doit être configurée dans votre configuration DMARC. Si vous la sautez, votre enregistrement ne sera pas valide.

Étape 3 : Activer les rapports et cliquer sur "Générer" 

Pour surveiller votre flux de messagerie et vos résultats d'authentification, configurez les rapports agrégés DMARC (RUA) en définissant l'adresse e-mail à laquelle vous souhaitez recevoir vos rapports. Enfin, cliquez sur le bouton « Générer ». 

Étape 4 : Publier et valider la configuration de l'enregistrement

Une fois que vous avez terminé de créer l’enregistrement TXT, utilisez le bouton « copier » pour copier directement la syntaxe, puis accédez à votre console de gestion DNS. 

• Créez un nouvel enregistrement TXT. 
• Dans le champ Hôte/Nom, saisissez « _dmarc » (ou « _dmarc.yourdomain.com », selon votre fournisseur DNS). 
• Dans le champ Valeur/Données, collez la syntaxe d’enregistrement DMARC que vous avez générée.
• Enregistrez l'enregistrement pour le publier sur votre DNS et terminer votre configuration DMARC.

Pour en savoir plus, consultez notre guide détaillé sur la publication d'un enregistrement DMARC sur votre DNS. La propagation des modifications DNS peut prendre jusqu'à 48 heures, selon votre fournisseur.

Vérification de votre configuration DMARC

Après avoir configuré DMARC, vous devez vérifier vos configurations pour vous assurer de ne pas rencontrer l'erreur très courante « Aucun enregistrement DMARC trouvé » .

Pour vérifier votre configuration, vous pouvez utiliser gratuitement l'outil de vérification DMARC de PowerDMARC. Pour l'utiliser :

1. Entrez votre nom de domaine dans la case de destination (c'est-à-dire que si l'URL de votre site Web est https://company.com, votre nom de domaine sera company.com )
2. Cliquez sur le bouton "Recherche".
3. Voir vos résultats affichés à l'écran

Nous recommandons cette méthode de vérification comme alternative à la vérification manuelle pour une expérience plus rapide, plus précise et sans tracas.

Conseils de configuration DAMRC avancés

Une fois votre configuration de base terminée, voici quelques conseils avancés pour améliorer votre implémentation :

Politiques DMARC expliquées (lesquelles choisir ?)

Pour éviter que vos e-mails ne soient usurpés, vous devez configurer une politique DMARC . Vous avez le choix entre trois politiques principales :

• Aucun (p=none) : aucune action n'est entreprise sur les e-mails dont l'authentification DMARC échoue. Cette option est idéale pour surveiller le trafic e-mail lors de la configuration initiale.
• Quarantine (p= quarantine ) : les e-mails échoués sont marqués comme suspects et envoyés dans les dossiers spam/courrier indésirable.
• Rejeter (p=reject) : les e-mails échoués sont bloqués et ne sont pas du tout livrés.

Remarque : choisissez une politique « aucune » pour surveiller vos e-mails avant de vous engager dans une application complète (p = quarantine ou p = rejet).

Modes d'alignement (strict ou détendu)

• Alignement détendu 

Alignement SPF détendu : réussi si le domaine dans le chemin de retour (domaine authentifié SPF) partage le même domaine organisationnel que le domaine dans l'adresse de l'expéditeur.

Exemple :

aspf=r;

De : [email protected]

Chemin de retour : [email protected]

Passe l'alignement SPF assoupli car les deux partagent le domaine organisationnel example.com.

Alignement DKIM détendu : réussi si le domaine d= dans la signature DKIM partage le même domaine organisationnel que le domaine dans l'adresse de l'expéditeur.

Exemple :

adkim=r;

De : [email protected]

Signature DKIM : d=alerts.example.com

Passe l'alignement DKIM assoupli (même domaine organisationnel : example.com ).

• Alignement strict

Alignement SPF détendu : réussi si le domaine dans le chemin de retour (domaine authentifié SPF) correspond exactement au domaine dans l'adresse de l'expéditeur (et pas seulement une correspondance organisationnelle). 

Exemple :

aspf=s;

De : [email protected]

Chemin de retour : [email protected]

L'alignement SPF est strict, car les deux adresses partagent le domaine example.com. Si le chemin de retour était bounce.mail.example.com, l'alignement strict échouerait.

Alignement DKIM détendu : réussi si le domaine d= dans la signature DKIM correspond exactement au domaine dans l'adresse de l'expéditeur.

Exemple :

adkim=s;

De : [email protected]

Signature DKIM : d=alerts.example.com

Passe un alignement DKIM strict (même domaine : example.com ). Si d=domain était bounce.mail.example.com, l'alignement strict échouerait.

Exemple de configuration DMARC

Voici un exemple de configuration DMARC simple :

v=DMARC1; p=rejeter ; rua=mailto:[email protected]; 

Remarque : lorsque vous commencez votre parcours d'authentification par e-mail, vous pouvez conserver votre politique DMARC (p) sur aucune au lieu de rejeter, pour surveiller votre flux de courrier électronique et résoudre les problèmes avant de passer à une politique stricte.

Syntaxe d'enregistrement DMARC et balises facultatives

La syntaxe de votre configuration DMARC détermine le mode d'authentification de vos e-mails et les actions à entreprendre après la vérification. Explorons quelques mécanismes principaux :

• v (obligatoire) : spécifie la version DMARC. Doit être DMARC1 et apparaître en premier dans l'enregistrement.
• p (obligatoire) : définit la politique en cas d'échec DMARC (aucun, quarantine , ou rejeter).
• rua (facultatif) : spécifie les adresses e-mail pour recevoir des rapports agrégés au format mailto :
• ruf (facultatif) : spécifie les adresses e-mail pour recevoir les rapports d'échec médico-légaux à l'aide du format mailto :
• adkim (facultatif) : définit le mode d'alignement DKIM sur r (relaxé) ou s (strict). Le mode par défaut est relaxé, s'il n'est pas défini. 
• aspf (facultatif) : définit le mode d'alignement SPF sur r (relaxé) ou s (strict). Le mode par défaut est relaxé, s'il n'est pas défini. 
• pct (facultatif) : définit le pourcentage d'e-mails échoués soumis à la politique DMARC (la valeur par défaut est 100).
• fo (facultatif) : contrôle l'envoi des rapports d'analyse. Les options incluent 0, 1, d et s.

Pour en savoir plus, consultez notre blog détaillé sur les balises DMARC . Assurez-vous que les balises sont séparées par des points-virgules et qu'il n'y a pas d'espaces superflus pour garantir un formatage correct.

Après la configuration de DMARC : que faire ensuite ?

Après une configuration DMARC réussie, il est important de surveiller en permanence vos rapports, de passer progressivement à l'application et de résoudre les erreurs en cours de route. 

Comment lire les rapports DMARC ?

Voici un extrait d'un rapport DMARC RUA. Pour l'analyser manuellement : 

• Examine the <domain> and <source_ip> fields to verify your sending sources 
• Check the <adkim> and <aspf> fields to confirm the alignment mode configured for your domain. 
• Check your DMARC policy in the <p> field 
• Check your email authentication results (pass/fail) by checking the <policy_evaluated> sections of the report. 

Utiliser un analyseur de rapports DMARC

Pour consulter et analyser facilement vos rapports DMARC sans avoir à lire des fichiers XML complexes, inscrivez-vous à PowerDMARC. Notre analyseur de rapports DMARC vous permet de visualiser les rapports dans un format lisible par l'utilisateur pour une visibilité précise.

Transition vers p=reject en toute sécurité

Lors de la configuration de DMARC , il est important d'adopter en toute sécurité la politique ap=reject afin d'éviter les problèmes de délivrabilité. Pour ce faire : 

• Commencez avec p=none et activez les rapports DMARC pour surveiller le trafic de messagerie.
• Après quelques semaines, passez à p= quarantine , en l'appliquant à 50 % de votre volume de courrier électronique (en utilisant la balise pct=50).
• Appliquez-le progressivement à 100 % de votre volume de courrier en configurant pct=100 (ou laissez la valeur par défaut).
• Une fois que vous êtes sûr de votre configuration, passez à p=reject pour 50 % de votre volume de courrier (pct=50).
• Une fois satisfait de votre configuration, appliquez p=reject pour 100 % de votre volume de courrier (pct=100).

Conseil de pro : utilisez notre solution DMARC hébergée pour passer en toute sécurité à des politiques appliquées avec l'assistance d'experts.

Dépannage des problèmes courants dans les configurations DMARC

Comment PowerDMARC simplifie la configuration de DMARC

Étude de cas : Comment la Fatty Liver Foundation a simplifié la configuration DMARC d'entreprise avec PowerDMARC

« La boîte à outils PowerDMARC était conviviale et permettait de configurer des fonctions comme DMARC et DKIM de manière très intuitive. » – Wayne Eskridge, PDG de la Fatty Liver Foundation

Pour lire l'histoire complète de la façon dont cette entreprise à but non lucratif basée aux États-Unis a simplifié la configuration et la gestion de DMARC , consultez notre étude de cas .

FAQ sur la configuration de DMARC

• Puis-je configurer DMARC sans DKIM ou SPF ?

Non. DMARC s'appuie sur les résultats des vérifications d'authentification SPF ou DKIM (ou les deux). Vous devez configurer au moins l'un de ces protocoles (SPF ou DKIM) pour votre domaine avant de mettre en œuvre DMARC. 

• À quelle fréquence dois-je vérifier les rapports DMARC ? 

La fréquence de votre surveillance dépend de plusieurs facteurs : 

• Si vous êtes une grande entreprise, un MSSP gérant la sécurité des e-mails pour vos clients, si vous êtes dans les phases initiales de déploiement ou si vous avez récemment appliqué votre politique DMARC, nous vous recommandons de vérifier régulièrement vos rapports. 
• Une fois les choses stables, vous pouvez procéder à la révision hebdomadaire des rapports en accordant une attention particulière lorsque de nouvelles sources d'envoi sont ajoutées.

• À propos de
• Derniers messages

Maitham Al Lawati

Expert en cybersécurité, PDG de PowerDMARC

Maitham est un entrepreneur technologique, expert en cybersécurité, PDG et fondateur de PowerDMARC avec plus de 15 ans d'expérience dans l'industrie. Maitham est titulaire d'un Global MBA de l'Université de Manchester et de diverses certifications professionnelles, notamment CISSP, CISM, CRISC et ISC2 CCSP.

Derniers messages de Maitham Al Lawati (voir tous)

• Comment créer et publier un enregistrement DMARC - 3 mars 2025
• Comment corriger le message "Aucun enregistrement SPF trouvé" en 2025 - 21 janvier 2025
• Comment lire un rapport DMARC - 19 janvier 2025