DMARC : la règle qui protège votre domaine

DMARC a d'abord été décrit par la RFC 7489, une publication informative. Il est désormais une norme, la RFC 9989, publiée en 2026, qui la remplace. Les deux ont été relues le 14 octobre 2026.

L'alignement, ce que DMARC ajoute

SPF vérifie l'adresse de l'enveloppe, et DKIM le domaine qui signe. Aucun des deux ne regarde l'adresse affichée dans le champ « De », la seule que votre destinataire voit. Un fraudeur peut donc envoyer un message qui passe SPF pour son propre domaine tout en affichant le vôtre.

DMARC comble ce trou par l'alignement : le domaine du champ « De » doit correspondre au domaine validé par SPF ou à celui de la signature DKIM. Il suffit que l'un des deux soit à la fois valide et aligné pour que le message passe DMARC.

L'alignement a deux degrés :

• souple (r, la valeur par défaut) : il suffit que les domaines aient la même racine, si bien que lettre.exemple.fr s'aligne sur exemple.fr ;
• strict (s) : les deux noms doivent être identiques.

Lire un enregistrement DMARC

_dmarc.exemple.fr.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:[email protected]; adkim=s; aspf=s"

La RFC 9989 retire la balise pct, qui appliquait la règle à une partie seulement des messages, et la remplace par t=y, qui demande d'appliquer un cran en dessous : quarantine se lit alors comme none, et reject comme quarantine. Vous rencontrerez encore pct dans bien des enregistrements écrits avant elle.

Mettre DMARC en place sans perdre de messages

1. Vérifiez d'abord SPF et DKIM sur un message réel, pour chaque service qui envoie en votre nom. Un service oublié échouera sous DMARC.
2. Publiez une règle d'observation, chez le gestionnaire de votre zone DNS, en type TXT, au nom _dmarc :

v=DMARC1; p=none; rua=mailto:[email protected]

3. Lisez les rapports pendant deux à quatre semaines. Ils arrivent en fichiers XML compressés, un par messagerie et par jour. Un outil d'analyse, dont il existe des versions gratuites, les rend lisibles : il montre chaque serveur qui a envoyé au nom de votre domaine, et s'il passe SPF et DKIM.
4. Corrigez les envois légitimes qui échouent, en les ajoutant à votre SPF ou en activant leur signature DKIM.
5. Durcissez la règle : passez à p=quarantine, observez encore, puis à p=reject si rien de légitime n'échoue.

Avec p=reject, plus personne ne peut se faire passer pour votre domaine auprès des messageries qui appliquent DMARC.

Le DMARC proposé par Hubspace

Le modèle DNS de notre panneau Plesk propose cet enregistrement :

v=DMARC1; p=quarantine; adkim=s; aspf=s

C'est une règle déjà ferme, avec un alignement strict. Votre zone DNS étant presque toujours ailleurs que chez nous, rien n'est publié tant que vous ne le recopiez pas. Avant de le faire :

• vérifiez que vos messages passent SPF et DKIM, faute de quoi ils iront en indésirables ;
• si un service envoie depuis un sous-domaine, comme une lettre d'information sur lettre.exemple.fr, l'alignement strict le fera échouer : gardez adkim=r et aspf=r ;
• si d'autres services envoient en votre nom, commencez plutôt par p=none avec une adresse rua, et suivez les étapes ci-dessus.

Questions fréquentes