Échec DMARC : le SPF et le DKIM ne correspondent pas à votre domaine

Ce que ça veut dire

Le DMARC ne se contente pas de demander « le SPF ou le DKIM a-t-il passé ? ». Il demande « ont-ils passé pour le même domaine que celui de l'adresse From ? ». Cette correspondance s'appelle l'alignement.

• Le SPF vérifie l'expéditeur caché de l'enveloppe (Return-Path). Les outils de newsletter et les CRM y mettent souvent leur propre domaine, comme bounces.newsletter-example.com.
• Le DKIM vérifie le domaine de la signature (d=). Si vous n'avez pas configuré le DKIM de votre propre domaine dans l'outil, il signe avec son propre domaine.

Le SPF et le DKIM peuvent donc passer tous les deux, pour le domaine du fournisseur, alors que le DMARC échoue pour le vôtre.

Pourquoi c'est important

C'est sur un échec DMARC que les destinataires agissent. Avec p=quarantine, votre email va en spam ; avec p=reject, il est refusé. Même avec p=none, Gmail et Yahoo attendent des envois en masse qu'ils passent le DMARC.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte que vous voulez vérifier, puis ouvrez le rapport. Regardez ensemble les lignes SPF, DKIM et DMARC : elles montrent quel domaine chaque vérification a utilisé, et si la signature DKIM vient de votre domaine ou de votre fournisseur.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements DNS sans rien envoyer.

Comment corriger

Il suffit d'une seule vérification alignée pour passer le DMARC. Le DKIM est le meilleur choix, car il résiste aussi au transfert.

Option 1 : configurer le DKIM pour votre propre domaine (recommandé)

1. Dans l'outil d'envoi, cherchez « authentification de domaine » ou « DKIM ».
2. Ajoutez dans votre DNS les enregistrements qu'il vous donne (en général des TXT ou CNAME sous ._domainkey).
3. Validez dans l'outil. Les signatures utiliseront alors d=yourdomain.com.

Option 2 : utiliser un Return-Path personnalisé

Beaucoup de services d'emailing permettent d'utiliser un de vos sous-domaines comme expéditeur de l'enveloppe, souvent appelé « custom return path » ou « domaine de rebond personnalisé ». Vous ajoutez un CNAME comme :

bounces.yourdomain.com  CNAME  (value given by your email service)

Le SPF est alors vérifié sur votre sous-domaine, qui est aligné avec votre domaine.

Option 3 : votre propre serveur

Si l'email part de votre propre serveur, assurez-vous que l'expéditeur de l'enveloppe utilise votre domaine et que l'IP du serveur figure dans votre enregistrement SPF, et signez avec un DKIM de votre domaine.

Alignement strict ou souple

Par défaut, le DMARC utilise un alignement souple (relaxed) : mail.yourdomain.com correspond à yourdomain.com. Si votre enregistrement contient adkim=s ou aspf=s (strict), les domaines doivent être exactement identiques. Sauf bonne raison, retirez ces options :

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Transferts et listes de diffusion

Quand un email est transféré, le SPF échoue parce que le serveur qui transfère n'est pas dans votre liste. Les listes de diffusion qui modifient le contenu cassent aussi le DKIM. Vous ne pouvez pas régler entièrement ce problème de votre côté : c'est pour cela qu'un DKIM aligné est si important.

Vérifiez que c'est corrigé

Envoyez un nouvel email de test depuis la page d'accueil, depuis chacun de vos outils. La ligne DMARC doit être validée. Avec la surveillance DMARC de Delivmail dans le tableau de bord payant, vous pouvez aussi suivre les rapports quotidiens et voir chaque source qui échoue encore.