Aucun enregistrement DMARC sur votre domaine

Ce que ça veut dire

Le DMARC (Domain-based Message Authentication, Reporting and Conformance) est un enregistrement DNS qui relie le SPF et le DKIM. Il indique deux choses aux serveurs de réception :

• Quoi faire d'un email qui prétend venir de votre domaine mais échoue aux vérifications : le livrer, le mettre en spam ou le refuser.
• Où envoyer les rapports sur ceux qui envoient des emails avec votre nom de domaine.

Pourquoi c'est important

• Gmail et Yahoo exigent un enregistrement DMARC pour tous ceux qui envoient de gros volumes, et Microsoft Outlook va dans le même sens.
• Sans DMARC, des escrocs peuvent envoyer de fausses factures ou des emails de phishing qui semblent venir de vous.
• Les rapports vous montrent chaque service qui envoie en votre nom, y compris ceux que vous aviez oubliés.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte que vous voulez vérifier, puis ouvrez le rapport. La ligne DMARC indique que votre domaine n'a pas de politique.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements DNS sans rien envoyer.

Comment corriger

1. Vérifiez d'abord que le SPF et le DKIM sont en place. Le DMARC s'appuie sur eux.
2. Choisissez une adresse pour les rapports. Les rapports sont des fichiers XML envoyés chaque jour par Gmail, Microsoft, Yahoo et d'autres. Une boîte séparée comme dmarc@yourdomain.com est une bonne idée.
3. Ouvrez votre fournisseur DNS et ajoutez un enregistrement TXT avec le nom _dmarc.
4. Commencez en mode surveillance (p=none). Rien n'est bloqué ; vous recevez simplement des rapports.

_dmarc.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

Ce que veut dire chaque partie

• v=DMARC1 : c'est un enregistrement DMARC. Cette partie doit être en premier.
• p=none : la politique. none surveille seulement, quarantine envoie les échecs en spam, reject les refuse.
• rua=mailto:... : l'adresse où arrivent les rapports quotidiens.

Conseils

• Un seul enregistrement DMARC par domaine. Avec deux, les destinataires ignorent complètement le DMARC.
• Le nom est _dmarc (avec le tiret bas). Certains fournisseurs DNS veulent seulement _dmarc, d'autres le nom complet _dmarc.yourdomain.com.
• Les rapports sont difficiles à lire à la main. La surveillance DMARC de Delivmail, dans le tableau de bord payant, les reçoit et les résume pour vous.
• Le mode surveillance est une première étape, pas l'objectif. Après quelques semaines de rapports propres, passez à p=quarantine, puis à p=reject. Voir la fiche sur le passage du DMARC en quarantine ou reject.

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures.

Lancez le scanner de domaine : le DMARC doit être trouvé, avec votre politique et votre adresse de rapports. Envoyez ensuite un email de test depuis la page d'accueil. La ligne DMARC doit être validée, à condition que le SPF ou le DKIM passe pour votre domaine.

Plus d'aide : guide DMARC de Google.