Les balises DMARC expliquées : p, sp, pct, rua, ruf, fo, adkim, aspf

Ce que ça veut dire

Un enregistrement DMARC est un enregistrement TXT placé sur _dmarc.yourdomain.com. Il est composé de balises : des noms courts suivis de = et d'une valeur, séparés par des points-virgules. Par exemple :

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com; adkim=r; aspf=r

Seules v et p sont obligatoires. Les autres sont facultatives et ont des valeurs par défaut.

Pourquoi c'est important

Une balise erronée peut rendre votre enregistrement inutile, ou empêcher les rapports d'arriver. Une balise mal comprise peut aussi bloquer vos propres emails. Savoir ce que fait chaque partie vous permet de changer votre politique sans risque.

Les balises une par une

Obligatoires

• v=DMARC1 : la version. Elle doit venir en premier, écrite exactement ainsi.
• p : la politique pour les emails qui échouent au DMARC. none veut dire seulement observer, quarantine envoyer en spam, reject refuser l'email.

Rapports

• rua : où envoyer les rapports agrégés, des résumés quotidiens de qui a envoyé des emails avec votre domaine. Exemple : rua=mailto:dmarc@yourdomain.com. Fortement recommandé.
• ruf : où envoyer les rapports d'échec, des copies d'emails individuels en échec. Peu de fournisseurs en envoient aujourd'hui, et ils peuvent contenir des données personnelles. La plupart des gens s'en passent.
• fo : quand envoyer les rapports d'échec. 0 (par défaut) quand tout échoue, 1 quand quoi que ce soit échoue. Utile seulement avec ruf.

Portée

• sp : la politique pour les sous-domaines, comme shop.yourdomain.com. Sans elle, les sous-domaines suivent p.
• pct : le pourcentage d'emails en échec auxquels la politique s'applique, de 0 à 100 (100 par défaut). Par exemple p=quarantine; pct=25 met en quarantaine un quart des emails en échec. Pratique pour une montée progressive, mais les nouvelles versions de DMARC la remplacent, donc n'en dépendez pas longtemps.

Alignement

• adkim : à quel point le domaine DKIM doit correspondre au domaine du From. r (relaxed, par défaut) accepte les sous-domaines ; s (strict) exige une correspondance exacte.
• aspf : la même chose, pour le domaine SPF (le Return-Path).

Laissez les deux en relaxed sauf si vous avez une bonne raison : le mode strict casse souvent les outils de newsletter qui utilisent un sous-domaine.

Comment vérifier

• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire votre enregistrement DMARC et ses balises.
• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte ou l'outil que vous voulez vérifier, puis ouvrez le rapport. La ligne DMARC affiche le résultat et la politique appliquée.

Des enregistrements sûrs pour chaque étape

Pour démarrer, en observation seulement :

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Une fois que les rapports montrent que tous vos expéditeurs passent :

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

Protection complète, sous-domaines compris :

v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@yourdomain.com

Erreurs courantes

• Oublier mailto: devant l'adresse des rapports.
• Des virgules au lieu de points-virgules entre les balises.
• Deux enregistrements DMARC au même nom : les destinataires ignorent les deux.
• Envoyer les rapports vers un autre domaine que le vôtre sans l'enregistrement d'autorisation que cela exige.

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures. Relancez le scanner de domaine : l'enregistrement DMARC doit être lu sans erreur et afficher les balises que vous avez définies.