Vérificateur DMARC

Rien, au courrier. Cela demande aux destinataires de distribuer comme d’habitude et de vous envoyer des rapports. C’est donc la façon sûre de commencer — vous découvrez lesquels de vos expéditeurs échoueraient avant qu’aucun n’échoue — mais un domaine qui y reste est exactement aussi usurpable qu’un domaine sans DMARC.

Collectez des rapports agrégés pendant quelques semaines et vérifiez que chaque expéditeur légitime réussit SPF ou DKIM avec alignement. Passez ensuite à p=quarantine, observez de nouveau, puis terminez en p=reject. Ce sont les rapports qui rendent chaque étape sûre, d’où la difficulté de durcir un enregistrement sans rua=.

Le plus souvent parce que l’adresse appartient à un autre domaine — un service de reporting, ou un collègue — et que ce domaine n’a pas publié l’enregistrement d’autorisation nommant le vôtre. Les destinataires conformes n’envoient alors rien du tout. Aucune erreur n’est produite : cela ressemble exactement à l’absence d’usurpation.

Souple accepte un sous-domaine comme correspondance : du courrier venu de mail.exemple.fr peut s’aligner avec exemple.fr. Strict exige le domaine exact. Souple est la valeur par défaut et convient à presque tout le monde ; strict casse de nombreux expéditeurs légitimes.

Oui. DMARC n’authentifie rien par lui-même : il vérifie qu’une réussite SPF ou DKIM s’aligne avec l’adresse From visible. Publier DMARC sans l’un ni l’autre en dessous signifie que tout échoue, et c’est pourquoi p=reject dans cet état peut refuser votre propre courrier.

Il n’applique la politique qu’à cette part du courrier en échec ; le reste est traité d’un cran plus faible. Utile pendant un déploiement, facile à oublier — et un usurpateur n’a besoin que de la part épargnée.