Les listes de diffusion et Google Groups cassent le DMARC

Ce que ça veut dire

Une liste de discussion (Google Groups, Mailman, une adresse de groupe dans Microsoft 365, de nombreux outils de forum) reçoit votre email et en envoie une copie à chaque membre. En chemin, elle :

• l'envoie souvent depuis ses propres serveurs, donc votre SPF ne correspond plus ;
• modifie le contenu : elle ajoute une étiquette comme [club] à l'objet ou un pied de page avec un lien de désinscription, ce qui casse votre signature DKIM.

Avec le SPF et le DKIM tous les deux cassés pour votre domaine, le DMARC échoue. Si votre domaine utilise p=quarantine ou p=reject, des membres risquent de ne jamais recevoir votre message.

Pourquoi c'est important

• Vos messages sur une liste partent en spam chez certains membres, sans que vous le sachiez.
• Si beaucoup de copies échouent, la liste peut compter les rebonds et même désinscrire des membres automatiquement.
• Vos rapports DMARC montrent des échecs venant de serveurs que vous ne connaissez pas, ce qui peut ressembler à de l'usurpation.

Comment les listes règlent le problème

Réécrire le From

La plupart des outils de liste modernes modifient l'en-tête From quand le domaine de l'expéditeur a une politique DMARC stricte :

From: Jane Smith via Club Members <club@lists.example.com>
Reply-To: jane@yourdomain.com

L'email vient maintenant du domaine de la liste, qui passe son propre DMARC. Les réponses arrivent toujours à l'expéditeur. Google Groups le fait automatiquement. Dans Mailman, cherchez les réglages d'atténuation DMARC (« munge From » ou « wrap message »).

ARC

L'ARC (Authenticated Received Chain) permet à la liste d'ajouter une note scellée qui dit « le SPF et le DKIM étaient valides quand j'ai reçu ce message ». Les grands serveurs de réception comme Gmail et Microsoft peuvent faire confiance à cette note quand elle vient d'intermédiaires bien connus. Google Groups ajoute l'ARC. Cela aide, mais chaque serveur de réception décide s'il lui fait confiance.

Que faire

Si vous gérez une liste

1. Activez la réécriture du From pour les expéditeurs dont les domaines utilisent p=quarantine ou p=reject (ou pour tout le monde).
2. Évitez de modifier les messages si vous le pouvez : sans étiquette dans l'objet ni pied de page, le DKIM reste intact.
3. Authentifiez le domaine de la liste avec SPF, DKIM et DMARC.
4. Pour les destinataires sous Microsoft 365, un administrateur peut ajouter un service de liste aux scelleurs ARC de confiance.

Si vous écrivez à des listes

• Assurez-vous que le DKIM signe chaque email ; avec les listes qui ne modifient pas les messages, le DKIM survit.
• Avant de passer à p=reject, cherchez les serveurs de listes dans vos rapports DMARC et demandez à leurs gestionnaires d'activer la réécriture du From.
• La surveillance DMARC de Delivmail, dans le tableau de bord payant, vous aide à repérer ces sources dans vos rapports.

Vérifiez que c'est corrigé

Envoyez d'abord un email de test directement depuis la page d'accueil de Delivmail : il doit valider le SPF, le DKIM et le DMARC, ce qui prouve que votre propre configuration est correcte. Publiez ensuite un message sur la liste et demandez à un membre chez Gmail ou Outlook si le message est arrivé en boîte de réception, avec le nom de la liste dans le From.