Guide : authentification
Configurer DMARC
DMARC relie SPF et DKIM à l’adresse From que voient vos destinataires, indique aux destinataires quoi faire du courrier en échec et leur demande de vous envoyer des rapports.
Dernière vérification : 4 novembre 2026
Ce qu’apporte DMARC
SPF vérifie le domaine d’enveloppe et DKIM le domaine signataire, mais aucun des deux n’a besoin de correspondre à l’adresse From. DMARC (RFC 9989, qui a remplacé la RFC 7489 en mai 2026) l’exige : un message ne passe DMARC que si SPF ou DKIM réussit pour un domaine aligné avec le domaine From.
La politique est un enregistrement TXT à _dmarc.yourdomain. Les destinataires le lisent pour décider quoi faire du courrier qui se réclame de vous et échoue, et où envoyer leurs rapports.
L’alignement
Avec l’alignement relaxed (adkim=r, aspf=r, la valeur par défaut), les domaines doivent partager le même domaine organisationnel : mail.example.com est aligné avec example.com. Avec l’alignement strict (s), ils doivent être identiques.
En pratique, votre service d’envoi doit signer DKIM avec votre domaine et, pour que SPF compte, utiliser un Return-Path sur votre domaine. Un seul résultat aligné réussi suffit.
L’enregistrement et ses politiques
Un enregistrement commence par v=DMARC1. La RFC 9989 traite un enregistrement sans balise p= comme p=none, mais publiez p= explicitement pour que votre intention soit claire. Les autres balises sont facultatives : rua= pour les rapports agrégés, sp= pour les sous-domaines et t=y pour tester une politique sans demander aux destinataires de l’appliquer. La balise pct= de la RFC 7489 a été supprimée.
- p=none : demande aux destinataires de ne prendre aucune mesure DMARC et seulement de faire des rapports. Utilisez-la pour voir qui envoie au nom de votre domaine ; le filtrage antispam habituel s’applique toujours.
- p=quarantine : demande aux destinataires de traiter le courrier en échec comme suspect, en général en le plaçant en spam.
- p=reject : demande aux destinataires de refuser le courrier en échec. C’est la meilleure protection contre l’usurpation de votre domaine, même si chaque destinataire garde la décision finale.
v=DMARC1; p=none; rua=mailto:[email protected]Un ordre sûr pour durcir la politique
Commencez par p=none et une adresse rua dont vous lisez les rapports. Les rapports agrégés sont des fichiers XML envoyés environ une fois par jour par chaque destinataire ; ils listent les sources qui ont envoyé au nom de votre domaine et si elles ont réussi.
Corrigez chaque source légitime en échec : un outil de newsletter oublié, un système de facturation, un service d’assistance. Passez ensuite à p=quarantine, surveillez de nouveau les rapports, puis à p=reject quand seuls les expéditeurs non autorisés échouent.
Ce que demandent les fournisseurs de messagerie
Google demande aux expéditeurs de près de 5 000 messages ou plus par jour vers des comptes Gmail personnels de publier DMARC, et que le domaine From soit aligné avec le domaine SPF ou DKIM. Yahoo demande aux expéditeurs en masse une politique DMARC valide d’au moins p=none, et DMARC doit réussir.
Comment Mail.Land gère DMARC
DMARC est obligatoire chez Mail.Land : un domaine n’est vérifié qu’avec un enregistrement _dmarc commençant par v=DMARC1 et portant une balise p=, et SPF, DKIM et DMARC doivent tous être vérifiés avant qu’il puisse envoyer. Le tableau de bord propose une valeur avec p=quarantine et un alignement relaxed ; vous pouvez publier votre propre politique à la place.
Mail.Land signe DKIM avec votre domaine et, une fois vérifié l’enregistrement du Return-Path personnalisé (activé par défaut), aligne aussi SPF en alignement relaxed. Mail.Land reçoit les rapports agrégés DMARC envoyés à l’adresse rua qu’il vous donne et met leur taux de réussite, leurs sources d’envoi et les dispositions appliquées à disposition via l’API : ajoutez votre propre adresse rua si vous voulez aussi les rapports bruts.
Sources
- RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC) (consultée le 4 novembre 2026)
- RFC 9990, rapports agrégés DMARC (consultée le 4 novembre 2026)
- Google, consignes pour les expéditeurs d’e-mails (consultée le 4 novembre 2026)
- Yahoo, bonnes pratiques pour les expéditeurs (consultée le 4 novembre 2026)
Passez à la pratique
Ajoutez votre domaine à Mail.Land et le tableau de bord affiche exactement les enregistrements SPF, DKIM et DMARC à publier.