Un générateur d'enregistrements DMARC crée l'enregistrement DNS TXT qui indique aux serveurs de réception quoi faire du courrier dont l'authentification échoue et où envoyer les rapports. Vous choisissez une stratégie et des options de reporting, et le générateur assemble la syntaxe de balise correcte définie par RFC 9989 , la norme DMARC actuelle. L'enregistrement est publié sur _dmarc.yourdomain.com et fonctionne au-dessus de SPF et DKIM , vérifiant que le domaine qu'un destinataire voit correspond au domaine authentifié par ces méthodes.
Ce que fait DMARC
DMARC lie SPF et DKIM avec une règle pour le domaine visible From. Lorsqu'un message arrive, le destinataire vérifie si SPF ou DKIM passe et si le domaine de passage s'aligne sur l'adresse De. Votre politique DMARC demande ensuite au destinataire d'autoriser, de mettre en quarantaine ou de rejeter le courrier en échec. Il demande également aux destinataires d'envoyer des rapports agrégés, qui vous montrent chaque source d'envoi comme votre domaine, légitime ou non.
Les principales balises expliquées
- v=DMARC1 identifies the record version and must come first.
- p= is the policy for your domain: none to monitor, quarantine to send failures to spam, or reject to block them.
- rua= is the address for aggregate report data, the feedback that shows all your sending sources.
- ruf= is the address for forensic or failure reports, used less often for privacy reasons.
- pct= sets the percentage of failing mail the policy applies to, useful for a gradual rollout.
- sp= sets a separate policy for subdomains, and adkim= and aspf= control strict or relaxed alignment.
Valeurs par défaut sûres et déploiement par étapes
Commencez à p=none avec une adresse de reporting afin de collecter des données sans affecter la livraison. Lisez les rapports agrégés jusqu'à ce que chaque source légitime réussisse et s'aligne, puis passez à p=quarantine, et enfin à p=reject une fois que vous êtes sûr. Se précipiter pour rejeter avant que vos sources ne soient vérifiées peut bloquer le vrai courrier. Ce chemin par étapes est le moyen standard d'atteindre l'application en toute sécurité, et c'est également le niveau dont BIMI a besoin avant que votre logo puisse s'afficher.
Un enregistrement correct
Exemple DMARC appliqué
v=DMARC1; p=reject; rua=mailto:rua@example.com; pct=100; adkim=s; aspf=s
Générez le vôtre avec EmailAuth
EmailAuth génère un enregistrement DMARC correct à partir d'une analyse de domaine gratuite, en lisant votre configuration SPF , DKIM et DMARC existante et en remplissant les balises avec des valeurs qui correspondent à la façon dont vous envoyez réellement. Il héberge les enregistrements DMARC , BIMI et MTA-STS par délégation CNAME , ce qui vous permet de mettre à jour la stratégie à partir d'un tableau de bord lorsque vous passez de la surveillance à l'application. La plateforme analyse également vos rapports agrégés dans une vue lisible, afin que vous puissiez voir chaque source d'envoi et savoir quand il est sécuritaire de renforcer la politique.
Questions fréquemment posées
Où puis-je publier un enregistrement DMARC ?
Publiez-le en tant qu'enregistrement DNS TXT sous le nom d'hôte _dmarc.yourdomain.com . La valeur commence par v=DMARC1 suivi de vos balises de stratégie et de rapport. Un seul enregistrement DMARC est autorisé par domaine.
Qu’est-ce qu’une politique DMARC sûre pour commencer ?
Commencez par p=none plus une adresse de reporting rua. Cela surveille votre courrier sans affecter la livraison afin que vous puissiez voir chaque source d'envoi. Passez à p=quarantine, puis p=reject, une fois que vos sources légitimes ont toutes réussi et alignées.
Ai-je toujours besoin SPF et DKIM avec DMARC ?
Oui. DMARC ne les remplace pas ; il s'appuie sur eux. Un message passe DMARC lorsque SPF ou DKIM passe et que le domaine authentifié s'aligne sur l'adresse De. Sans SPF et DKIM fonctionnels, votre propre courrier échouera DMARC .
À quoi sert la balise PCT ?
La balise PCT définit le pourcentage de courriers en échec auquel votre politique s'applique, de 1 à 100. Certains expéditeurs utilisent une valeur inférieure pour mettre en quarantaine ou rejeter progressivement, puis l'augmenter à 100 une fois que les résultats semblent propres. En cas d'omission, la valeur par défaut est 100.
Provenance de l'entreprise
Pourquoi les principales institutions financières et gouvernements ont retiré leurs tableaux de bord de sécurité de messagerie.
Les plateformes traditionnelles d'authentification de courrier électronique vous vendent un tableau de bord et demandent à vos ingénieurs de faire le travail. Dans les environnements à enjeux élevés, la surveillance manuelle entraîne des retards dans l’application, des dérives de configuration et des domaines fantômes non surveillés.
EmailAuth est la plateforme agent de provenance des e-mails. Nos agents appliquent p=reject, gardez les expéditeurs tiers alignés et déplacez vos domaines au maximum RFC 9989 conformité, la nouvelle norme DMARC , avec une auditabilité humaine dans la boucle.
SaaS · Location dédiée · Air-gappé sur site · Chiffrement BYOK