Configurer une boîte de rapports DMARC (rua) et autoriser un domaine externe

Ce que ça veut dire

La balise rua de votre enregistrement DMARC indique aux destinataires comme Google, Microsoft et Yahoo où envoyer leurs rapports agrégés quotidiens. Ces rapports listent chaque serveur qui a envoyé des emails avec votre domaine, et indiquent si le SPF, le DKIM et le DMARC ont réussi.

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Si l'adresse est sur le même domaine, rien d'autre n'est nécessaire. Si elle est sur un autre domaine, cet autre domaine doit accepter de recevoir vos rapports, avec un enregistrement DNS spécial.

Pourquoi c'est important

• Sans rua, vous ne recevez aucun rapport, et passer à quarantine ou reject revient à avancer à l'aveugle.
• Les rapports sont envoyés automatiquement, chaque jour, par de nombreuses entreprises. Ils peuvent vite remplir une boîte personnelle.
• Si l'autorisation externe manque, les destinataires ignorent votre adresse de rapports sans rien dire.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil (/), copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte ou l'outil que vous voulez vérifier, puis ouvrez le rapport.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements SPF, DMARC et MX sans rien envoyer.

Le scanner affiche votre enregistrement DMARC, y compris son adresse rua.

Comment corriger

1. Créez une boîte dédiée

Utilisez une adresse réservée aux rapports, comme dmarc@yourdomain.com ou dmarc-reports@yourdomain.com. N'utilisez pas votre boîte personnelle. Un alias gratuit ou un groupe qui transfère vers un dossier fonctionne aussi.

2. Ajoutez-la à votre enregistrement DMARC

Modifiez l'enregistrement TXT sous _dmarc.yourdomain.com. Plusieurs adresses se séparent par une virgule :

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com,mailto:reports@dmarc-service.example

Gardez le préfixe mailto: devant chaque adresse.

3. Adresse sur un autre domaine : ajoutez l'autorisation

Imaginons que yourdomain.com envoie ses rapports à dmarc@otherdomain.com. Le propriétaire de otherdomain.com doit publier un enregistrement TXT sous :

yourdomain.com._report._dmarc.otherdomain.com   TXT   "v=DMARC1"

Le nom est votre domaine, puis _report._dmarc, puis le domaine qui reçoit les rapports. À noter :

• Les services de rapports le publient en général pour vous. Si vous utilisez votre propre second domaine, c'est à vous de l'ajouter.
• Un domaine qui reçoit les rapports de nombreux domaines peut publier un seul enregistrement générique (wildcard) sous *._report._dmarc.otherdomain.com.
• Chacun de vos domaines, et chaque sous-domaine qui a son propre enregistrement DMARC, a besoin de sa propre autorisation, sauf si un enregistrement générique existe.

4. Rendez les rapports utiles

Les rapports sont des fichiers XML compressés, difficiles à lire à la main. Vous pouvez les lire avec un visualiseur gratuit ou un service de surveillance. La surveillance DMARC de Delivmail, dans le tableau de bord payant, les collecte pour vous et liste vos sources d'envoi.

Erreurs fréquentes

• Oublier mailto:, ou ajouter des espaces dans la liste d'adresses.
• Une boîte pleine qui refuse les rapports entrants.
• Une adresse externe sans l'enregistrement _report._dmarc.

Vérifiez que c'est corrigé

Relancez le scanner de domaine : votre enregistrement DMARC doit être valide et afficher l'adresse de rapports. Les rapports arrivent environ une fois par jour de la part de chaque grand fournisseur, alors attendez 24 à 48 heures. Si rien n'arrive après quelques jours d'envois normaux, vérifiez l'orthographe, l'espace de stockage de la boîte et l'autorisation externe.