What is the difference between the From header and the Return-Path?

The From header is the visible sender address recipients see, and DMARC aligns against it. The Return-Path, also called the envelope sender or MAIL FROM, is the bounce address whose domain SPF checks. They can differ, which is why DMARC alignment is needed.

What is alignment in DMARC?

Alignment is the requirement that the domain authenticated by SPF or DKIM matches the domain in the visible From header. Relaxed alignment allows the organizational domains to match, while strict alignment requires an exact domain match. Alignment is what makes DMARC resistant to spoofing.

What is ARC and why does it matter?

ARC, Authenticated Received Chain, records authentication results as a message passes through intermediaries such as mailing lists and forwarders. Because forwarding often breaks SPF and DKIM, ARC lets a final receiver see that the message passed authentication earlier, helping legitimate forwarded mail survive DMARC.

Is MTA-STS part of DMARC?

No. MTA-STS is a separate standard that enforces encrypted TLS connections between mail servers, and TLS-RPT (RFC 8460) reports on TLS failures. They complement DMARC by securing mail in transit, but they authenticate the connection, not the sender identity that DMARC covers.

What is the difference between SPF, DKIM and DMARC?

SPF authorizes sending servers, DKIM proves a message was signed by a domain and not altered, and DMARC ties both to the visible From address and sets the policy for failures.

What does DMARCbis change?

DMARCbis, published in May 2026 as RFC 9989, 9990 and 9991, replaces the retired RFC 7489. It removes pct, adds the t testing flag and the np policy for non-existent subdomains, and finds the organizational domain by walking the DNS tree. Existing valid records keep working.

Dictionnaire et glossaire DMARC

[Réponse rapide]

L'authentification des e-mails repose sur trois enregistrements DNS : SPF répertorie les personnes pouvant envoyer un domaine, DKIM signe chaque message et DMARC vérifie que l'un d'entre eux a réussi pour le domaine visible De et demande aux destinataires de livrer, de mettre en quarantaine ou de rejeter le courrier en cas d'échec.

Faits clés

›DMARC a besoin SPF ou DKIM pour passer avec l'alignement sur le domaine From.
›p=reject is full protection; p=none only monitors.
›SPF autorise au maximum 10 recherches DNS .
›BIMI affiche votre logo uniquement une fois que DMARC est appliqué.

Révisé par l'équipe de recherche EmailAuth

Ce glossaire définit les termes fondamentaux de l'authentification des e-mails, depuis les normes sur lesquelles DMARC s'appuie jusqu'aux rapports et protocoles associés qui l'entourent. Utilisez-le comme référence rapide lors de la lecture d’enregistrements DMARC ou de rapports agrégés.

125 termes

Un record: Enregistrement DNS pointant un nom d'hôte vers une adresse IPv4 (AAAA pour IPv6 ).; Enregistrement MX Une recherche d'enregistrement
Reprise de compte: Un attaquant prend le contrôle d'une vraie boîte aux lettres, donc son courrier passe par SPF , DKIM et DMARC .; BEC
ADKIM: Paramètre de balise DMARC Alignement DKIM : r (détendu, par défaut) autorise les sous-domaines, s (strict) nécessite une correspondance de domaine exacte.; adkim=s; Alignement ASPF
Alignement: L'exigence DMARC selon laquelle le domaine authentifié par SPF ou DKIM correspond au domaine From visible.; Passer SPF ou DKIM ne suffit pas pour DMARC . Le domaine transmis doit également être le même que l'adresse d'expéditeur que le lecteur voit ou (en mode détendu) partager un domaine organisationnel avec cette adresse.; ADKIM ASPF En-tête de Domaine organisationnel Qu’est-ce que DMARC ? Analyseur d'en-tête d'e-mail
ARC: Chaîne de réception authentifiée : permet aux redirecteurs et aux listes de diffusion de conserver les résultats d'authentification d'origine.; Chaque intermédiaire ajoute un enregistrement signé de ce à quoi ressemblait l'authentification lorsqu'il a reçu le message, afin que le destinataire final puisse faire confiance aux résultats que le transfert a échoué.; Sceau ARC Expéditeur
Sceau ARC: L'en-tête ARC-Seal chaque intermédiaire ajoute pour signer la chaîne de résultats ARC .; ARC
ASPF: Définition de la balise DMARC Alignement SPF : r (détendu) ou s (strict).; aspf=r; Alignement ADKIM
Authentication-Results: L'en-tête d'un récepteur ajoute l'enregistrement des résultats SPF , DKIM et DMARC pour un message.; SPF DKIM DMARC Analyseur d'en-tête d'e-mail

Rétrodiffusion: Rebondissez les messages qui vous sont envoyés pour du spam que vous n'avez jamais envoyé, car votre adresse a été falsifiée.; Usurpation
BEC: Business Email Compromise : fraude dans laquelle les attaquants se font passer pour des dirigeants ou des fournisseurs par courrier électronique.; Un BEC typique demande aux finances de modifier les coordonnées bancaires ou de payer une facture urgente. Les pertes se chiffrent en milliards chaque année ; DMARC supprime la voie la plus simple, l'usurpation d'identité de domaine exact.; Pêche à la baleine Compromis de courrier électronique du fournisseur Usurpation
BIMI: Indicateurs de marque pour l'identification des messages : affiche votre logo dans les boîtes de réception pour les courriers qui passent DMARC .; BIMI a besoin DMARC en quarantaine ou en rejet, d'un logo au format SVG Tiny PS et, pour Gmail et Apple, d'un certificat VMC ou CMC .; default._bimi.example.com TXT "v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/vmc.pem"; VMC CMC SVG Minuscule PS Qu’est-ce que BIMI ? Vérificateur BIMI
Enregistrement BIMI: Un enregistrement TXT par défaut. _bimi.yourdomain pointant vers votre logo ( l=) et votre certificat ( a=).; BIMI VMC Créer un enregistrement BIMI
Liste de blocage: Une liste publique d'adresses IP ou de domaines vus envoyer du spam ; les destinataires les utilisent pour rejeter le courrier.; Réputation de l'expéditeur Liste noire et vérificateur DNSSEC
Coche bleue: Coche d'expéditeur vérifié de Gmail affichée pour les marques avec BIMI et VMC .; VMC
BOD 18-01: Directive fédérale américaine obligeant les agences à exécuter DMARC à p=reject.; p=reject
Hachage du corps: La valeur bh= dans une signature DKIM : un hachage du corps du message qui doit correspondre à l'arrivée.; Signature DKIM
Expéditeur en masse: Gmail et Yahoo sont le terme désignant un domaine envoyant environ 5 000 messages ou plus par jour à leurs utilisateurs.; Exigences des expéditeurs de Google et Yahoo

Dossier CAA: Enregistrement DNS répertoriant les autorités de certification qui peuvent délivrer des certificats pour un domaine.; vérificateur CAA
Canonisation: Comment un message est normalisé avant la signature DKIM : simple ou assoupli pour les en-têtes et le corps.; Signature DKIM
CIDR: Notation sans classe pour une plage IP, telle que 203.0.113.0/24 pour 256 adresses.; ip4 et ip6 Calculateur SPF CIDR
CMC: Certificat de marque commune : un certificat BIMI qui ne nécessite pas de marque déposée.; VMC BIMI
Enregistrement CNAME: Alias DNS pointant un nom d'hôte vers un autre, souvent utilisé pour déléguer des clés DKIM à un fournisseur.; Sélecteur DKIM Recherche CNAME

d= tag: Le domaine de signature dans une signature DKIM ; il doit s'aligner sur le domaine From pour DMARC .; Alignement Signature DKIM
DANE: Authentification basée sur DNS des entités nommées : épingle les certificats TLS dans les enregistrements TLSA signés DNSSEC.; Enregistrement TLSA DNSSEC Vérificateur DANE /TLSA
DNS en suspens: Un enregistrement pointant vers une ressource cloud supprimée que quelqu'un d'autre peut revendiquer.; Reprise de sous-domaine
Résidence des données: Conserver les données stockées et traitées dans un pays ou une région choisi.; Sécurité et confiance
Délivrabilité: La fiabilité avec laquelle votre courrier atteint la boîte de réception plutôt que le spam ou le rejet.; Réputation de l'expéditeur
Usurpation du nom d'affichage: Falsifier uniquement le nom de l'expéditeur, tel que « Nom du PDG » < random@gmail.com > ; DMARC ne peut pas l'arrêter.; Usurpation BEC
DKIM: DomainKeys Identified Mail : une signature cryptographique prouvant qu'un message provient d'un domaine et n'a pas été modifié ( RFC 6376 ).; Le serveur expéditeur signe les en-têtes et le corps avec une clé privée ; les récepteurs récupèrent la clé publique du DNS et la vérifient. Contrairement à SPF , DKIM survit généralement au transfert.; Sélecteur DKIM Signature DKIM Alignement Qu’est-ce que DKIM ? Recherche DKIM
Longueur de la clé DKIM: Taille de la clé RSA ; 2 048 bits est la recommandation actuelle, 1 024 bits est considéré comme faible.; Rotation des clés DKIM Ed25519
Rotation des clés DKIM: Remplacer régulièrement les clés DKIM en publiant un nouveau sélecteur et en retirant l'ancien.; Sélecteur DKIM Longueur de la clé DKIM Guide de configuration DKIM Générateur DKIM
Sélecteur DKIM: L'étiquette s= indique aux récepteurs quelle clé publique DKIM récupérer, au niveau du sélecteur. _domainkey.domain.; s1._domainkey.example.com; DKIM Rotation des clés DKIM Recherche DKIM
Signature DKIM: L'en-tête DKIM-Signature portant le domaine de signature ( d=), le sélecteur ( s=) et la signature elle-même.; DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=s1; ...; DKIM d= tag Signature DKIM expliquée Analyseur d'en-tête d'e-mail
DMARC: Authentification, reporting et conformité des messages basés sur le domaine : politique et reporting basés sur SPF et DKIM , désormais définis par RFC 9989 (avec RFC 9990 et 9991 pour les rapports), qui a remplacé RFC 7489 en mai 2026.; DMARC indique aux serveurs de messagerie de réception quoi faire lorsqu'un message prétendant provenir de votre domaine échoue à l'alignement SPF et DKIM : le livrer, l'envoyer dans le spam ou le rejeter. Il leur demande également de vous envoyer des rapports, afin que vous puissiez voir chaque service envoyé comme votre domaine.; v=DMARC1; p=reject; rua=mailto:dmarc@example.com; Enregistrement DMARC Alignement p=reject DMARCbis Qu’est-ce que DMARC ? Vérificateur DMARC
Application DMARC: Exécution DMARC à p=quarantine ou p=reject afin que le courrier défaillant soit réellement arrêté.; p=reject p=quarantine Guides de configuration DMARC
Enregistrement DMARC: Un enregistrement TXT sur _dmarc.yourdomain qui publie la politique DMARC et les adresses des rapports.; L'enregistrement est une liste de paires tag=value . Seuls v et p sont requis ; les autres contrôlent les sous-domaines, le reporting et l'alignement.; _dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:reports@example.com"; DMARC Enregistrement TXT RUA Qu'est-ce qu'un enregistrement DMARC ? Générateur DMARC
DMARCbis: Ancien nom de travail de RFC 9989 , la norme DMARC actuelle (mai 2026) qui a remplacé RFC 7489 . Il ajoute les balises np et t et un parcours d'arborescence DNS au lieu de la liste de suffixes publics.; DMARCbis met de l'ordre dans la spécification d'origine : pct est supprimé, t= remplace les déploiements partiels, np= couvre les sous-domaines inexistants et le domaine organisationnel est trouvé en remontant l'arborescence DNS . Publié en mai 2026 sous les noms RFC 9989 , 9990 et 9991, il s'agit désormais simplement DMARC . Les enregistrements valides aujourd’hui continuent de fonctionner.; DMARC RFC 9989 np t étiquette psd Parcours de l'arborescence DNS Qu’est-ce que DMARC ?
Limite de recherche DNS: SPF peut déclencher au maximum 10 mécanismes de requête DNS ; plus provoque PermError.; include, a, mx, ptr, existe et redirige chaque décompte vers la limite, y compris les recherches imbriquées dans les enregistrements d'autres fournisseurs. L’ajout de quelques outils SaaS suffit à le casser.; PermErreur Aplatissement SPF Le problème de la recherche SPF Vérificateur SPF
Propagation DNS: Le délai avant un changement DNS est visible partout, à mesure que les réponses mises en cache expirent.; TTL Propagation DNS
Parcours de l'arborescence DNS: Méthode DMARCbis pour trouver le domaine organisationnel en interrogeant la hiérarchie DNS .; DMARCbis Liste des suffixes publics
DNSSEC: Extensions de sécurité DNS : signe cryptographiquement les réponses DNS pour empêcher toute falsification.; DANE Liste noire et vérificateur DNSSEC
Âge du domaine: Depuis combien de temps un domaine est enregistré ; les domaines très nouveaux sont traités avec suspicion.; Vérificateur d'âge de domaine
DORA: Loi de l'UE sur la résilience opérationnelle numérique pour les entreprises financières, couvrant les risques liés aux TIC, y compris le courrier électronique.; NIS2
Attaque de déclassement: Un attaquant supprime STARTTLS afin que le courrier soit envoyé en clair ; MTA-STS et DANE l'empêchent.; STARTTLS MTA-STS

Ed25519: Un algorithme de signature moderne à clé courte pour DKIM ( RFC 8463 ), généralement publié avec RSA.; Longueur de la clé DKIM
En-tête de l'e-mail: Les lignes de routage et d'authentification en haut d'un message, lisibles via "show original".; Analyseur d'en-tête d'e-mail
Expéditeur d'enveloppe: L'adresse Return-Path ou MAIL FROM utilisée dans SMTP , vérifiée par SPF .; Return-Path En-tête de
ESP: Fournisseur de services de messagerie : une plateforme qui envoie du courrier pour vous, comme un service marketing ou transactionnel.; Inclure Sélecteur DKIM
Vérification externe de la destination: Un enregistrement DNS qui permet à un domaine d'accepter de recevoir des rapports DMARC pour un autre.; example.com._report._dmarc.reports.vendor.com TXT "v=DMARC1"; RUA

FCrDNS: DNS inversé confirmé en avant : le nom d'hôte PTR revient à la même adresse IP.; Enregistrement PTR Vérificateur DNS inversé
Boucle de rétroaction: Un service grâce auquel un fournisseur de boîte aux lettres vous informe lorsque les destinataires signalent votre courrier comme spam.; Taux de plaintes pour spam
pour: Balise DMARC choisissant le moment où les rapports d'échec (investigation) sont générés, par exemple fo=1 pour tout échec.; fo=1; RUF
Expéditeur: Renvoyer un message à une nouvelle adresse ; cela casse généralement SPF et parfois DKIM .; ARC SRS

Exigences des expéditeurs de Google et Yahoo: Depuis 2024, les expéditeurs massifs vers Gmail et Yahoo ont besoin SPF , DKIM , DMARC , d'un alignement, d'un désabonnement en un clic et de faibles taux de spam.; Expéditeur en masse Se désabonner en un clic Taux de plaintes pour spam Règles d'expéditeur Google et Yahoo Vérification de l'expéditeur Google et Yahoo
Outils Google Postmaster: Tableau de bord gratuit de Google affichant le taux de spam, la réputation et l'authentification de votre domaine sur Gmail .; Taux de plaintes pour spam

Rebond dur: Un échec de livraison permanent, comme une adresse qui n'existe pas.; Rebond doux
Échec dur ( -all ): Qualificateur SPF indiquant que tout expéditeur non répertorié n'est pas autorisé.; Échec logiciel ( ~all )Neutre ( ?all )
En-tête de: L'adresse De indiquée aux destinataires est le domaine protégé DMARC .; Alignement Expéditeur d'enveloppe
Identité HELO: Le nom d'hôte qu'un serveur annonce lorsqu'il se connecte ; SPF peut également le vérifier.; SPF
Homoglyphe: Caractère qui ressemble à un autre, comme le cyrillique a pour le latin a, utilisé dans les domaines similaires.; Domaine similaire

Inclure: Mécanisme SPF qui autorise l'enregistrement SPF d'un autre domaine, tel que include:_spf.google.com.; Enregistrement SPF Limite de recherche DNS
Échauffement IP: Augmentation progressive du volume à partir d'une nouvelle adresse IP d'envoi afin que les fournisseurs renforcent la confiance.; Réputation de l'expéditeur
ip4 et ip6: Mécanismes SPF qui autorisent directement une adresse IP ou une plage CIDR sans recherche DNS .; ip4:203.0.113.0/24 ip6:2001:db8::/32; CIDR Aplatissement SPF
ISO 27001: Norme internationale pour un système de gestion de la sécurité de l'information.; Sécurité et confiance

l= tag: Limite de longueur du corps DKIM facultative ; risqué car les attaquants peuvent ajouter du contenu après la partie signée.; Signature DKIM
Domaine similaire: Un domaine ressemblant au vôtre, enregistré pour usurper l'identité de votre marque.; Homoglyphe Recherche de domaines similaires

MTA: Agent de transfert de courrier : un serveur qui envoie ou relaie des e-mails.; SMTP
MTA-STS: Mail Transfer Agent Strict Transport Security : nécessite un TLS chiffré et validé pour le courrier entrant ( RFC 8461 ).; Vous publiez un fichier de stratégie via HTTPS et un enregistrement TXT . Les serveurs d'envoi refusent alors de vous livrer via une connexion non cryptée ou usurpée.; _mta-sts.example.com TXT "v=STSv1; id=20260101"; TLS-RPT STARTTLS DANE Vérificateur MTA-STS
Enregistrement MX: Enregistrement DNS nommant les serveurs qui reçoivent les e-mails pour un domaine.; MTA Recherche MX

Neutre ( ?all ): Qualificateur SPF ne indiquant aucune assertion sur les expéditeurs non répertoriés.; Échec logiciel ( ~all )
NIS2: Directive européenne sur la cybersécurité exigeant que les entités essentielles et importantes gèrent les risques, y compris les menaces par courrier électronique.; DORA
np: Balise DMARCbis définissant la politique pour les sous-domaines qui n'existent pas dans DNS .; Les attaquants aiment envoyer à partir de sous-domaines inventés tels que billing.example.com . np=reject les bloque même pendant que le reste de votre stratégie est encore en cours de déploiement.; np=reject; DMARCbis SP
Enregistrement N.-É.: Enregistrement DNS nommant les serveurs de noms faisant autorité pour un domaine.; Vérificateur de serveur de noms

Se désabonner en un clic: En-tête List-Unsubscribe-Post ( RFC 8058 ) requis par Gmail et Yahoo pour le courrier en masse.; Exigences des expéditeurs de Google et Yahoo
Domaine organisationnel: Domaine enregistré auquel appartient un sous-domaine, tel que example.com pour mail.example.com .; Alignement Parcours de l'arborescence DNS Liste des suffixes publics

p=none: Politique de surveillance DMARC : les rapports sont envoyés mais aucun courrier n'est bloqué.; Commencez ici. Vous collectez des rapports, recherchez tous les expéditeurs légitimes et corrigez leur authentification avant de passer en quarantaine et de rejeter. Rester à p=none pour toujours n'offre aucune protection.; p=quarantine p=reject RUA Guides de configuration DMARC
p=quarantine: Politique DMARC demandant aux destinataires de traiter les courriers défaillants comme suspects, généralement le dossier spam.; p=none p=reject
p=reject: Politique DMARC demandant aux destinataires de bloquer le courrier défaillant : protection complète.; À p=reject, les messages qui échouent DMARC sont refusés avant d'atteindre la boîte de réception, de sorte que les attaquants ne peuvent pas les envoyer sous votre domaine exact. C'est l'objectif de chaque projet DMARC .; p=none p=quarantine DMARC Qu’est-ce que DMARC ? Vérificateur DMARC
Domaine garé: Un domaine que vous possédez mais à partir duquel vous n'envoyez pas de courrier ; il a toujours besoin SPF -all et DMARC p=reject.; p=reject np
PCI DSS 4.0: Norme de sécurité des cartes de paiement dont la version 4.0 attend des contrôles anti-phishing tels que DMARC .; DMARC
PCT: Balise DMARC appliquant la stratégie à un pourcentage de messages défaillants (supprimée dans DMARCbis ).; pct=25; t étiquette DMARCbis
PermErreur: Erreur SPF permanente, par exemple trop de recherches ou deux enregistrements SPF ; SPF échoue alors.; Limite de recherche DNS Erreur de température Vérificateur SPF
Phishing: Messages trompeurs qui incitent les destinataires à révéler leurs informations d'identification, à payer de l'argent ou à installer des logiciels malveillants.; Phishing ciblé Usurpation
psd: Balise DMARCbis marquant un domaine en tant qu'opérateur de suffixe public, tel qu'un domaine gouvernemental ou de registre.; psd=y; DMARCbis Domaine organisationnel
Enregistrement PTR: Enregistrement DNS inversé mappant une adresse IP à un nom d'hôte ; les fournisseurs de messagerie l'exigent pour l'envoi d'adresses IP.; FCrDNS Vérificateur DNS inversé
Liste des suffixes publics: Une liste de terminaisons de domaine comme . co.uk sous lequel les gens enregistrent des noms ; DMARC d'origine l'a utilisé pour trouver le domaine organisationnel.; Domaine organisationnel Parcours de l'arborescence DNS

Modificateur de redirection: SPF redirect= remplace l'intégralité de l'enregistrement par celui d'un autre domaine, souvent utilisé pour partager une politique entre domaines.; v=spf1 redirect=_spf.example.com; Inclure
Return-Path: En-tête enregistrant l’expéditeur de l’enveloppe, où vont les rebonds.; Expéditeur d'enveloppe Analyseur d'en-tête d'e-mail
RFC 7489: La spécification DMARC originale de 2015, désormais retirée : obsolète par RFC 9989 en mai 2026.; RFC 7489 était un document informatif, jamais une norme IETF . Les instructions écrites à son encontre s'appliquent toujours pour la plupart, mais ses balises pct, rf et ri n'existent plus sous RFC 9989 .; RFC 9989 DMARCbis
RFC 9989: La norme DMARC actuelle, publiée par l' IETF en mai 2026 sur le Standards Track ; il rend obsolète RFC 7489 et RFC 9091 .; RFC 9989 définit la politique, l'alignement et la découverte de politiques DMARC . Selon ses propres mots : "Ce document rend obsolète les RFC 7489 et 9091." Les rapports ont été déplacés vers RFC 9990 (agrégat) et RFC 9991 (échec). v=DMARC1 est inchangé, donc les enregistrements existants continuent de fonctionner ; pct, rf et ri sont supprimés et np, psd et t sont ajoutés.; DMARC DMARCbis RFC 9990 RFC 9991 RFC 7489 Qu’est-ce que DMARC ?
RFC 9990: La norme actuelle de reporting agrégé DMARC (mai 2026), définissant les rapports XML rua.; RFC 9990 a divisé les rapports agrégés de l'ancienne RFC 7489 dans son propre document Standards Track.; RFC 9989 RUA
RFC 9991: La norme actuelle de reporting des échecs DMARC (mai 2026), définissant les rapports ruf.; RFC 9991 couvre les rapports d'échec (investigation) par message, qui faisaient auparavant partie de RFC 7489 .; RFC 9989 RUF
ri: Balise DMARC demandant l'intervalle de rapport global en secondes ; la plupart des destinataires envoient quotidiennement quoi qu’il en soit.; ri=86400; RUA
RUA: Balise DMARC pour les adresses de rapport agrégées ; les rapports sont des résumés XML quotidiens.; Les rapports agrégés répertorient toutes les adresses IP qui ont envoyé du courrier en tant que domaine, le nombre de messages et s'ils ont réussi SPF , DKIM et DMARC . Ils ne contiennent aucun contenu de message.; RUF Enregistrement DMARC Lecture de rapports agrégés Analyseur de rapport DMARC
RUF: Balise DMARC pour les adresses des rapports médico-légaux (défaillance) ; les rapports décrivent les messages défaillants individuels.; Les rapports médico-légaux peuvent inclure des en-têtes et parfois le contenu des messages défaillants. De nombreux grands fournisseurs ne les envoient pas pour des raisons de confidentialité.; RUA pour Rapports médico-légaux expliqués

Réputation de l'expéditeur: Les fournisseurs de boîtes aux lettres avec un score de confiance attribuent votre domaine et vos adresses IP, en fonction de l'authentification, des plaintes et de l'engagement.; Taux de plaintes pour spam Liste de blocage
Expéditeur du Shadow IT: Un service d'envoi comme votre domaine dont l'informatique ne connaît pas l'existence ; Les rapports DMARC les révèlent.; RUA
SMTP: Simple Mail Transfer Protocol : protocole utilisé par les serveurs pour envoyer et relayer les e-mails.; MTA
Enregistrement SOA: Début de l'autorité : enregistrement DNS contenant le serveur principal d'une zone, les minuteries série et d'actualisation.; Vérificateur SOA
SOC 2: Un rapport d'audit sur les contrôles de sécurité, de disponibilité et de confidentialité d'un fournisseur de services.; Sécurité et confiance
Rebond doux: Un échec de livraison temporaire, tel qu'une boîte aux lettres pleine ou une liste grise.; Rebond dur
Échec logiciel ( ~all ): Le qualificatif SPF marquant les expéditeurs non répertoriés comme suspects mais n'a pas complètement échoué.; Avec DMARC en place, ~all est généralement suffisant : DMARC prend la décision finale et softfail évite certains problèmes de transfert.; Échec dur ( -all )Neutre ( ?all )
SP: Balise DMARC définissant la politique des sous-domaines.; sp=reject; np Enregistrement DMARC
Taux de plaintes pour spam: Part des destinataires marquant le courrier comme spam ; Gmail le veut en dessous de 0,1 % et jamais au-dessus de 0,3 %.; Exigences des expéditeurs de Google et Yahoo Boucle de rétroaction
Phishing ciblé: Phishing visant une personne spécifique en utilisant des informations personnelles recherchées.; Phishing Pêche à la baleine
SPF: Sender Policy Framework : un enregistrement TXT répertoriant les serveurs autorisés à envoyer pour un domaine ( RFC 7208 ).; SPF permet à un destinataire de vérifier si le serveur qui transmet un message est autorisé à envoyer pour le domaine de l'expéditeur de l'enveloppe. Il vérifie le Return-Path , pas l'adresse From visible, donc l'alignement DMARC est également nécessaire.; v=spf1 include:_spf.google.com -all; Enregistrement SPF Expéditeur d'enveloppe Limite de recherche DNS Qu'est-ce que SPF ? Vérificateur SPF
Aplatissement SPF: Remplacement des inclusions SPF par des plages IP pour rester dans la limite de 10 recherches.; L'aplatissement corrige la limite de recherche mais devient obsolète lorsque les fournisseurs modifient leurs adresses IP. L’aplatissement géré ou dynamique actualise automatiquement les plages.; Limite de recherche DNS ip4 et ip6 Le problème de la recherche SPF Aplatisseur SPF
Macros SPF: Placeholders like %{i} that expand per message, used for advanced or per-sender SPF policies.; Enregistrement SPF
Enregistrement SPF: L'enregistrement TXT commençant par v=spf1 qui répertorie vos expéditeurs autorisés et se termine par un qualificatif all.; SPF Inclure Échec dur ( -all )Enregistrement SPF expliqué Générateur SPF
Usurpation: Forger l'adresse de l'expéditeur pour que le courrier semble provenir d'un domaine approuvé.; L'usurpation d'identité de domaine exact est ce que DMARC arrête à p=reject . Les domaines similaires et les astuces de nom d'affichage nécessitent d'autres contrôles.; Usurpation du nom d'affichage Domaine similaire p=reject
SRS: Schéma de réécriture de l'expéditeur : les transitaires réécrivent l'expéditeur de l'enveloppe afin que SPF passe toujours.; Expéditeur Expéditeur d'enveloppe
STARTTLS: Commande SMTP qui met à niveau une connexion vers le cryptage TLS ; sans MTA-STS il peut être supprimé.; MTA-STS Attaque de déclassement
Reprise de sous-domaine: Un attaquant revendique une ressource vers laquelle pointe un enregistrement en suspens et diffuse du contenu ou du courrier à partir de votre sous-domaine.; DNS en suspens
SVG Minuscule PS: Le profil SVG restreint requis pour les logos BIMI .; BIMI Créer un logo BIMI SVG Convertisseur BIMI SVG

t étiquette: Indicateur de test DMARCbis : t=y demande aux récepteurs d'appliquer une politique moins stricte d'un niveau pendant que vous testez.; p=reject; t=y; DMARCbis PCT
Erreur de température: Erreur temporaire SPF ou DKIM , généralement un délai d'attente DNS ; les récepteurs peuvent réessayer ou le traiter comme un échec.; PermErreur
TLS-RPT: Rapports SMTP TLS : rapports quotidiens sur les échecs de livraison TLS vers votre domaine ( RFC 8460 ).; _smtp._tls.example.com TXT "v=TLSRPTv1; rua=mailto:tls@example.com"; MTA-STS Vérificateur MTA-STS
Enregistrement TLSA: Enregistrement DNS publiant une empreinte de certificat TLS pour DANE .; DANE Vérificateur DANE /TLSA
E-mail transactionnel: Messages individuels automatisés tels que les reçus et les réinitialisations de mots de passe.; Expéditeur en masse
TTL: Durée de vie : combien de temps les résolveurs mettent en cache une réponse DNS avant de la demander à nouveau.; Propagation DNS
Enregistrement TXT: Un enregistrement DNS contenant du texte ; utilisé pour SPF , DKIM , DMARC , BIMI , MTA-STS et TLS-RPT .; Enregistrement DMARC Enregistrement SPF

Compromis de courrier électronique du fournisseur: BEC réalisé à partir de la boîte aux lettres réelle et détournée d'un fournisseur.; BEC
VMC: Certificat de marque vérifiée : un certificat soutenu par une marque qui permet Gmail et Apple d'afficher votre logo BIMI .; CMC BIMI
Recherche annulée: Une requête DNS SPF qui ne renvoie aucun enregistrement ; plus de deux recherches vides provoquent PermError.; Limite de recherche DNS PermErreur

Pêche à la baleine: Phishing ciblé destiné aux cadres supérieurs.; Phishing ciblé BEC

Questions fréquemment posées

Quelle est la différence entre l'en-tête From et le Return-Path ?

L'en-tête From est l'adresse d'expéditeur visible que voient les destinataires, et DMARC s'aligne sur elle. Le Return-Path , également appelé expéditeur de l'enveloppe ou MAIL FROM, est l'adresse de rebond dont le domaine est vérifié SPF . Ils peuvent différer, c’est pourquoi l’alignement DMARC est nécessaire.

Qu’est-ce que l’alignement dans DMARC ?

L'alignement est l'exigence que le domaine authentifié par SPF ou DKIM corresponde au domaine dans l'en-tête From visible. Un alignement détendu permet aux domaines organisationnels de correspondre, tandis qu'un alignement strict nécessite une correspondance exacte des domaines. L'alignement est ce qui rend DMARC résistant à l'usurpation d'identité.

Qu’est-ce que ARC et pourquoi est-ce important ?

ARC , Authenticated Receiver Chain, enregistre les résultats de l'authentification lorsqu'un message passe par des intermédiaires tels que des listes de diffusion et des transitaires. Étant donné que le transfert interrompt souvent SPF et DKIM , ARC permet au destinataire final de voir que le message a réussi l'authentification plus tôt, aidant ainsi le courrier légitime transféré à survivre DMARC .

MTA-STS fait-il partie du DMARC ?

Non. MTA-STS est une norme distincte qui applique les connexions TLS chiffrées entre les serveurs de messagerie et les rapports TLS-RPT ( RFC 8460 ) sur les échecs TLS . Ils complètent DMARC en sécurisant le courrier en transit, mais ils authentifient la connexion, et non l'identité de l'expéditeur couverte par DMARC .

Quelle est la différence entre SPF , DKIM et DMARC ?

SPF autorise les serveurs d'envoi, DKIM prouve qu'un message a été signé par un domaine et n'a pas été modifié, et DMARC lie les deux à l'adresse d'expéditeur visible et définit la politique en cas d'échec.

Que change DMARCbis ?

DMARCbis , publié en mai 2026 sous les noms RFC 9989 , 9990 et 9991, remplace la RFC 7489 retirée. Il supprime PCT, ajoute l'indicateur de test t et la politique np pour les sous-domaines inexistants, et trouve le domaine organisationnel en parcourant l'arborescence DNS . Les enregistrements valides existants continuent de fonctionner.

[ DMARC guide ]

Qu’est-ce que DMARC ? Comment ça marche et les 3 politiques Qu'est-ce qu'un enregistrement DMARC ?Avantages DMARC Rapports agrégés RUA et DMARC Rapports médico-légaux RUF et DMARC Guides de configuration DMARC Vérificateur DMARCOutil gratuit Générateur DMARCOutil gratuit Analyseur de rapport DMARCOutil gratuit

Une partie de la base de connaissancesDiagnostics et ressources de travail · 27 guides

Provenance de l'entreprise

Pourquoi les principales institutions financières et gouvernements ont retiré leurs tableaux de bord de sécurité de messagerie.

Les plateformes traditionnelles d'authentification de courrier électronique vous vendent un tableau de bord et demandent à vos ingénieurs de faire le travail. Dans les environnements à enjeux élevés, la surveillance manuelle entraîne des retards dans l’application, des dérives de configuration et des domaines fantômes non surveillés.

EmailAuth est la plateforme agent de provenance des e-mails. Nos agents appliquent p=reject, gardez les expéditeurs tiers alignés et déplacez vos domaines au maximum RFC 9989 conformité, la nouvelle norme DMARC , avec une auditabilité humaine dans la boucle.

Gouvernements Grandes entreprises Institutions financières de premier rang

SaaS · Location dédiée · Air-gappé sur site · Chiffrement BYOK

Dictionnaire DMARC