Pour configurer DMARC en toute sécurité, publiez d'abord un enregistrement de surveillance, utilisez ses rapports pour authentifier chaque source d'envoi légitime, puis augmentez la politique par étapes de aucune à la quarantaine pour la rejeter. L'ordre est important : l'appliquer avant que vos sources ne soient transmises bloquera le vrai courrier. Effectué en séquence, vous obtenez une protection complète sans perturber la livraison.
Avant de commencer
DMARC dépend de SPF et DKIM , alors confirmez d'abord que les deux existent. SPF ( RFC 7208 ) répertorie les adresses IP et les services autorisés à envoyer pour votre domaine dans un enregistrement TXT . DKIM ajoute une signature cryptographique publiée sous forme de clé publique dans DNS . Vous avez besoin d'au moins un d'entre eux qui réussisse et qui soit aligné pour que DMARC réussisse, et idéalement les deux. Notez également la limite de recherche DNS SPF 10 : un enregistrement SPF qui déclenche plus de dix recherches DNS échoue, ce qui rompt alors l'alignement DMARC .
Pas à pas
- 1
1. Publier un enregistrement de surveillance
Ajoutez un enregistrement TXT à _dmarc avec v=DMARC1; p=none; rua=mailto:rua@example.com. Cela collecte des données sans affecter la livraison.
- 2
2. Rassemblez des rapports
Attendez deux à quatre semaines et lisez les rapports agrégés ( RUA ) pour voir chaque source d'envoi comme votre domaine.
- 3
3. Authentifiez chaque source
Pour chaque expéditeur légitime, configurez SPF et DKIM afin qu'ils soient transmis et alignés sur votre domaine From.
- 4
4. Passer en quarantaine
Lorsque le courrier légitime passe de manière cohérente, définissez p=quarantine, en utilisant éventuellement pct pour augmenter progressivement.
- 5
5. Déplacer pour rejeter
Une fois que la quarantaine ne montre aucun échec de courrier légitime, définissez p=reject pour une protection complète.
- 6
6. Continuez à surveiller
Continuez à lire les rapports afin que les nouveaux services et tout abus soient détectés rapidement.
Le chemin de déploiement
v=DMARC1; p=none then p=quarantine; pct=50 then p=reject; pct=100
Gérer la limite de recherche SPF
De nombreuses organisations dépassent la limite de recherche DNS SPF 10 lorsqu'elles ajoutent des services cloud, ce qui brise silencieusement SPF et mine DMARC . L'aplatissement SPF résout les mécanismes inclus en adresses IP directes afin que vous restiez sous la limite. SmartSPF d' EmailAuth aplatit automatiquement votre enregistrement SPF et le maintient à jour à mesure que vos fournisseurs modifient leurs adresses IP.
Pièges courants
- Passer à p=reject avant que les sources ne soient authentifiées, ce qui bloque le vrai courrier.
- Oublier les sous-domaines : définissez une politique sp, sinon ils risquent de ne pas être protégés.
- Publication de deux enregistrements DMARC , ce qui invalide complètement DMARC .
- Ignorer la limite de recherche SPF 10, qui rompt l'alignement SPF et DMARC .
- Appliquer puis ne plus jamais vérifier les rapports, afin que les nouveaux expéditeurs passent inaperçus.
Facilitez la gestion courante
EmailAuth peut héberger vos enregistrements DMARC , SPF , DKIM et BIMI par délégation CNAME , de sorte que vous pointez DNS une seule fois et gérez les changements de politique dans un tableau de bord au lieu de modifier DNS à plusieurs reprises. Il analyse RUA et RUF pour vous et signale les sources qui nécessitent encore du travail. Pour voir votre point de départ, exécutez une analyse de domaine gratuite, puis suivez le chemin par étapes ci-dessus pour atteindre p=reject.
Questions fréquemment posées
Comment configurer DMARC sans interrompre mes e-mails ?
Commencez par p=none, qui surveille sans affecter la livraison. Utilisez les rapports agrégés pour authentifier chaque expéditeur légitime avec SPF et DKIM , puis placez-le en quarantaine et enfin rejetez-le. L'approche par étapes signifie que vous n'appliquez jamais la loi tant que vous n'avez pas confirmé les véritables passes de courrier.
Combien de temps dois-je rester à p=none?
Assez long pour avoir une vue d'ensemble complète de vos sources d'envoi, généralement de deux à quatre semaines pour la plupart des organisations. Si vous envoyez via de nombreux services ou si vous avez des expéditeurs saisonniers, attendez plus longtemps. Continuez uniquement lorsque vos rapports montrent tous les courriers légitimes transmis et alignés.
Quelle est la limite de recherche DNS SPF 10 ?
L'évaluation SPF est limitée à dix recherches DNS . Si l'inclusion de votre enregistrement et d'autres mécanismes en déclenchent plus de dix, SPF renvoie une permerror et échoue, ce qui rompt l'alignement DMARC . L'aplatissement de l'enregistrement SPF en adresses IP directes, par exemple avec EmailAuth SmartSPF , vous maintient sous la limite.
Ai-je besoin d’un enregistrement DMARC distinct pour les sous-domaines ?
Pas nécessairement. Les sous-domaines héritent de la stratégie du domaine organisationnel, sauf si vous définissez la balise sp ou publiez un enregistrement dédié sur _dmarc.subdomain. Utilisez sp pour appliquer une politique différente aux sous-domaines et protéger explicitement les sous-domaines inutilisés afin qu'ils ne puissent pas être usurpés.
[ DMARC guide ]
Provenance de l'entreprise
Pourquoi les principales institutions financières et gouvernements ont retiré leurs tableaux de bord de sécurité de messagerie.
Les plateformes traditionnelles d'authentification de courrier électronique vous vendent un tableau de bord et demandent à vos ingénieurs de faire le travail. Dans les environnements à enjeux élevés, la surveillance manuelle entraîne des retards dans l’application, des dérives de configuration et des domaines fantômes non surveillés.
EmailAuth est la plateforme agent de provenance des e-mails. Nos agents appliquent p=reject, gardez les expéditeurs tiers alignés et déplacez vos domaines au maximum RFC 9989 conformité, la nouvelle norme DMARC , avec une auditabilité humaine dans la boucle.
SaaS · Location dédiée · Air-gappé sur site · Chiffrement BYOK