DMARC
DMARC : la politique à appliquer en cas d'échec
Le DMARC indique aux serveurs destinataires ce qu'ils doivent faire d'un message qui échoue à l'authentification de votre domaine. Il complète les mécanismes de signature et d'autorisation d'envoi, et permet de recevoir des rapports sur ce qui est envoyé en votre nom.
Les trois politiques DMARC
| Politique | Ce que fait le destinataire | Usage |
|---|---|---|
| none | Rien, mais il envoie des rapports | Phase d’observation |
| quarantine | Il place le message en indésirable | Transition |
| reject | Il refuse le message | Cible finale |
Le déploiement se fait dans cet ordre. Passer directement au refus bloque les envois légitimes d’outils tiers qu’on avait oubliés : facturation, support, recrutement.
Ce que les rapports DMARC apprennent
Ils listent tous les serveurs qui envoient des messages au nom de votre domaine, avec le résultat de leur authentification.
C’est souvent la première fois qu’une entreprise découvre le nombre réel d’outils qui écrivent en son nom. Le recensement précède toujours le durcissement de la politique.
Ce que le DMARC exige avant d’être utile
Une authentification correctement posée sur tous les canaux d’envoi. Le DMARC ne fait que décider quoi faire d’un échec, il n’en corrige aucun.
Un domaine dont la moitié des envois échoue et qui passe en refus se coupe de ses propres clients.
Ce que cette politique protège
Votre domaine contre l’usurpation. Il n’empêche pas un fraudeur d’afficher votre nom depuis un autre domaine, seulement d’écrire depuis le vôtre.
Les confusions fréquentes et ce qui les sépare
- DKIM
- Le DKIM signe le message. Le DMARC dit quoi faire quand cette signature échoue, et organise les rapports.
- Filtre anti-spam
- Le filtre juge le contenu. Le DMARC ne juge que l'origine du message, indépendamment de ce qu'il contient.
Mis à jour le