Passer le DMARC de p=none à quarantine ou reject sans risque

Ce que ça veut dire

Avec p=none, votre enregistrement DMARC se contente de collecter des rapports. Les destinataires livrent quand même les emails qui échouent aux vérifications, y compris les faux envoyés par des escrocs en votre nom.

• p=quarantine : les emails qui échouent au DMARC vont dans le dossier spam.
• p=reject : les emails qui échouent au DMARC sont refusés. C'est la protection complète.

Pourquoi c'est important

Le phishing et les fausses factures qui utilisent votre domaine nuisent à vos clients et à votre réputation. Une politique DMARC stricte les bloque. Elle est aussi nécessaire pour afficher votre logo dans Gmail et d'autres messageries (BIMI). Le risque, c'est d'aller trop vite : si l'un de vos vrais outils d'envoi n'est pas bien configuré, ses emails sont bloqués eux aussi.

Comment savoir où vous en êtes

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte que vous voulez vérifier, puis ouvrez le rapport. La ligne DMARC affiche votre politique actuelle.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements DNS sans rien envoyer.

Plan étape par étape

Étape 1 : surveiller pendant 2 à 4 semaines

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Lisez les rapports et listez chaque source qui envoie avec votre domaine : votre fournisseur de messagerie, votre outil de newsletter, votre boutique, votre logiciel de facturation, votre CRM, votre support client. La surveillance DMARC de Delivmail, dans le tableau de bord payant, les regroupe pour vous.

Étape 2 : corriger chaque source légitime

Chaque vraie source doit passer le SPF ou le DKIM pour votre domaine. Configurez le DKIM dans chaque outil et ajoutez-le au SPF. Envoyez un test Delivmail depuis chaque outil pour confirmer. Les sources que vous ne reconnaissez pas sont souvent de l'usurpation : c'est exactement ce que le DMARC va bloquer.

Étape 3 : quarantine, progressivement

Utilisez l'option pct pour appliquer d'abord la politique à une partie des emails en échec :

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@yourdomain.com

Attendez une semaine ou deux, regardez les rapports et les retours de vos clients, puis montez à 50, puis à 100 :

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

Étape 4 : reject

Après quelques semaines sans problème en quarantine complète :

v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com

Vous pouvez de nouveau utiliser pct pour une transition plus douce. Gardez l'adresse rua : les rapports restent utiles pour toujours.

Sous-domaines

Par défaut, les sous-domaines suivent votre politique principale. Si votre enregistrement contient sp=none, les faux emails venant de n'importe quel sous-domaine sont encore livrés. Retirez cette option, ou mettez sp=reject quand vous êtes sûr qu'aucun sous-domaine n'envoie d'emails non signés.

Signaux d'alerte à surveiller

• Des clients qui disent que vos factures ou vos newsletters sont arrivées en spam.
• Un outil connu qui apparaît en échec dans les rapports.
• Un nouvel outil ajouté par un collègue sans configuration DNS.

Si quelque chose ne va plus, vous pouvez toujours revenir d'une étape en modifiant l'enregistrement. Corrigez la source, puis repartez de l'avant.

Domaines qui n'envoient jamais d'email

Pour les domaines que vous possédez mais n'utilisez pas pour les emails, passez directement à reject, avec un SPF vide :

_dmarc.example.com  TXT  "v=DMARC1; p=reject;"
example.com         TXT  "v=spf1 -all"

Vérifiez que c'est corrigé

Lancez le scanner de domaine après chaque modification pour confirmer que la nouvelle politique est publiée. Envoyez des emails de test depuis chacun de vos outils : le DMARC doit passer pour tous.