Return-Path, expéditeur d'enveloppe et From : pourquoi ils doivent correspondre à votre domaine

Ce que ça veut dire

Un email ressemble un peu à une lettre dans une enveloppe. Il a deux adresses d'expéditeur :

• L'adresse From, imprimée sur la lettre. C'est celle que voit le lecteur, par exemple news@yourdomain.com.
• L'expéditeur d'enveloppe, écrit sur l'enveloppe. Il sert aux serveurs, surtout pour renvoyer les retours d'erreur (avis d'email non distribué). Une fois l'email livré, il est enregistré dans l'en-tête Return-Path. On l'appelle aussi « MAIL FROM » ou « adresse de rebond ».

Les deux peuvent être différentes. Les outils de newsletter utilisent souvent leur propre expéditeur d'enveloppe, comme bounce-123@mail.sendingtool.com, pour traiter les retours d'erreur à votre place.

Pourquoi c'est important

• Le SPF vérifie l'expéditeur d'enveloppe, pas le From. Si le Return-Path est sur le domaine de l'outil, le SPF passe pour l'outil, pas pour vous.
• Le DMARC vérifie le From. Il ne passe que si le SPF passe pour un domaine qui correspond au domaine du From, ou si le DKIM passe pour un domaine qui lui correspond. C'est ce qu'on appelle l'alignement.
• Donc avec le Return-Path de l'outil et la signature DKIM propre à l'outil, tout « passe », mais le DMARC échoue pour votre domaine.

Comment vérifier

• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte ou l'outil que vous voulez vérifier, puis ouvrez le rapport. Dans la section authentification, comparez le domaine vérifié par le SPF, le domaine de signature DKIM (d=) et le domaine du From. Le rapport indique si chacun est aligné. Dans la section « En-têtes bruts », regardez la ligne Return-Path.

Return-Path: <bounce-123@mail.sendingtool.com>   (not aligned)
Return-Path: <bounces@mail.yourdomain.com>       (aligned)
From: News <news@yourdomain.com>

Un sous-domaine de votre domaine, comme mail.yourdomain.com, compte comme aligné dans le mode « relaxed » par défaut.

Comment corriger

1. Configurez d'abord le DKIM avec votre propre domaine. Dans chaque outil d'envoi, cherchez « authentification de domaine » ou « DKIM personnalisé ». Ajoutez les enregistrements qu'il vous donne. Un DKIM aligné suffit pour que le DMARC passe, et il résiste mieux au transfert que le SPF.
2. Configurez un Return-Path personnalisé si votre outil le propose. On l'appelle souvent « custom bounce domain », « custom MAIL FROM » ou « return-path domain ». Vous ajoutez en général un enregistrement CNAME comme bounces.yourdomain.com qui pointe vers l'outil.
3. Pour votre propre serveur, assurez-vous que l'expéditeur d'enveloppe utilise votre domaine et que l'adresse IP du serveur figure dans votre enregistrement SPF.
4. Pour les formulaires et les scripts de votre site, définissez explicitement l'expéditeur d'enveloppe. Beaucoup d'hébergeurs utilisent une valeur par défaut comme user@server123.host.com. Avec la fonction mail de PHP, c'est le paramètre -f ou le réglage « Sender » de la bibliothèque qui le contrôle.

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures.

Envoyez un nouvel email de test depuis la page d'accueil avec le même outil. Le rapport doit montrer le DKIM qui passe et est aligné pour votre domaine, idéalement le SPF aligné aussi, et le DMARC qui passe.