Return-Path personnalisé Postmark (pm-bounces) et alignement DMARC

Ce que ça veut dire

Chaque email comporte deux adresses d'expéditeur. L'adresse From est celle que voit le lecteur. Le Return-Path (ou expéditeur d'enveloppe) est une adresse cachée où arrivent les rebonds. Le SPF vérifie le domaine du Return-Path, pas celui du From. Pour un rappel, voir Return-Path, expéditeur d'enveloppe et From.

Par défaut, Postmark utilise sa propre adresse de rebond :

Return-Path: <pm_bounces@pm.mtasv.net>

Le SPF passe, mais pour pm.mtasv.net, pas pour votre domaine. DMARC exige que le SPF ou le DKIM passe pour un domaine qui correspond à votre domaine From (c'est ce qu'on appelle l'alignement). Avec le Return-Path par défaut, le SPF n'est pas aligné : DMARC repose donc uniquement sur le DKIM.

Un Return-Path personnalisé le remplace par un sous-domaine de votre propre domaine, par défaut pm-bounces.yourdomain.com :

Return-Path: <pm_bounces@pm-bounces.yourdomain.com>

Le SPF passe alors et s'aligne sur votre domaine : DMARC peut passer à la fois par le SPF et par le DKIM.

Pourquoi cela arrive

Vous voyez « SPF non aligné » ou un avertissement DMARC dans un rapport parce que :

• Le Return-Path personnalisé n'a jamais été configuré (il est facultatif dans Postmark).
• Le CNAME a été ajouté, mais l'alias n'a pas été saisi ou vérifié dans Postmark, qui utilise donc toujours sa valeur par défaut.
• Le CNAME est faux : mauvais nom, mauvaise cible, ou proxifié par Cloudflare.
• Votre enregistrement DMARC impose un alignement SPF strict (aspf=s). Le mode strict exige exactement le même domaine, or pm-bounces.yourdomain.com est un sous-domaine : l'alignement SPF échoue donc même avec une configuration correcte. Voir l'explication des balises DMARC.

Si le DKIM échoue aussi, DMARC échoue complètement ; c'est un autre problème, traité dans DMARC échoue : SPF et DKIM ne correspondent pas à votre domaine.

Comment vérifier

1. Envoyez un email via Postmark à l'adresse unique de la page d'accueil de Delivmail. Dans le rapport, regardez le domaine SPF (le Return-Path) et le résultat DMARC.
2. Vérifiez l'enregistrement depuis un terminal :

   dig +short CNAME pm-bounces.yourdomain.com
   pm.mtasv.net.

   Si la réponse est vide ou affiche des adresses IP, le CNAME est absent ou proxifié.
3. Dans Postmark, ouvrez Sender Signatures, choisissez le domaine et ouvrez DNS Settings. La section Return-Path indique s'il est vérifié.

Comment corriger

1. Ajoutez le CNAME chez votre hébergeur DNS :

   Host:   pm-bounces.yourdomain.com   (enter "pm-bounces" in most DNS panels)
   Type:   CNAME
   Value:  pm.mtasv.net

   Vous pouvez choisir un autre libellé, mais ce doit être un sous-domaine de votre domaine From qui n'a pas déjà d'autres enregistrements (un CNAME ne peut pas partager son nom avec des enregistrements TXT, MX ou A ; voir conflit entre CNAME et enregistrements MX ou TXT).
2. Utilisateurs de Cloudflare : passez l'enregistrement en « DNS only » (nuage gris). Un enregistrement proxifié ne renvoie pas le CNAME. Voir les enregistrements proxifiés Cloudflare cassent l'email.
3. Indiquez-le à Postmark : dans Sender Signatures, ouvrez les DNS Settings du domaine, allez dans la section Return-Path, saisissez le même alias (par exemple pm-bounces) et vérifiez-le.
4. N'ajoutez pas Postmark à votre SPF principal pour cela. Le SPF est vérifié sur pm-bounces.yourdomain.com, qui hérite du SPF de Postmark grâce au CNAME. Votre SPF racine reste tel quel.
5. Vérifiez le mode d'alignement DMARC. Gardez le mode relaxed par défaut (aspf=r, ou pas de balise aspf) sauf si vous avez une raison d'être strict.
6. Gardez aussi le DKIM vérifié. Deux méthodes alignées sont plus sûres qu'une, car le DKIM survit à certains transferts qui cassent le SPF. Si le DKIM n'est pas encore configuré, voir Sender Signature Postmark et vérification du domaine.

Plusieurs domaines From

Le Return-Path personnalisé se configure par domaine. Si vous envoyez depuis yourdomain.com et news.yourdomain.com, chacun a besoin de sa propre configuration vérifiée dans Postmark.

Vérifier que c'est corrigé

Attendez que le CNAME soit visible (de quelques minutes à quelques heures selon votre hébergeur DNS), vérifiez qu'il est validé dans Postmark, puis envoyez un nouveau test à Delivmail. Le Return-Path doit désormais se terminer par pm-bounces.yourdomain.com, le SPF doit passer, et DMARC doit passer avec le SPF et le DKIM alignés. Vous pouvez aussi vérifier l'en-tête Authentication-Results d'un message reçu dans Gmail : cherchez spf=pass avec smtp.mailfrom=pm-bounces.yourdomain.com et dmarc=pass.