[Réponse rapide]
Un enregistrement DMARC est un enregistrement TXT publié sur _dmarc.yourdomain.com qui indique votre politique DMARC et où envoyer les rapports. Un exemple minimal est : v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com.
Faits clés
- ›v=DMARC1 and p= are the only required tags; v must come first.
- ›sp= sets a separate policy for subdomains.
- ›adkim= and aspf= set strict (s) or relaxed (r, default) alignment.
- ›pct= applies the policy to a percentage of failing mail (default 100).
- ›Un seul enregistrement DMARC est autorisé par domaine ; deux enregistrements signifient qu'aucun n'est appliqué.
Révisé par l'équipe de recherche EmailAuth
Un enregistrement DMARC est un enregistrement TXT unique publié dans votre DNS sous le nom d'hôte _dmarc.yourdomain.com . Il indique aux serveurs de messagerie de réception votre politique d'authentification et où envoyer les rapports. L'enregistrement est une liste de balises séparées par des points-virgules et commence toujours par v=DMARC1.
Exemple d'enregistrement DMARC
v=DMARC1; p=reject; rua=mailto:rua@example.com; ruf=mailto:ruf@example.com; adkim=s; aspf=s; pct=100; fo=1
Les principales balises DMARC
- v : version du protocole. Toujours v=DMARC1 et doit venir en premier.
- p : politique du domaine : aucune, quarantaine ou rejet.
- sp : politique pour les sous-domaines. En cas d'omission, les sous-domaines héritent de la valeur p.
- rua : adresse pour les rapports agrégés ( RUA ), écrite sous forme d'URI mailto.
- ruf : adresse pour les rapports d'échec médico-légaux ( RUF ).
- adkim : mode d'alignement DKIM , r pour détendu (par défaut) ou s pour strict.
- aspf : mode d'alignement SPF , r pour détendu (par défaut) ou s pour strict.
- PCT : pourcentage de courriers défaillants auxquels la stratégie s'applique, 1 à 100.
- fo : options de rapports médico-légaux, contrôlant le moment où les rapports RUF sont générés.
- rf : format de rapport pour les rapports médico-légaux, normalement afrf.
- ri : intervalle de reporting en secondes pour les rapports agrégés, 86 400 par défaut.
Lire les balises en termes simples
La balise p est celle qui fait le travail : elle décide de ce qui arrive au courrier usurpé. La balise rua est l'endroit où vous obtenez de la valeur dès le début, car les rapports agrégés montrent chaque source d'envoi comme votre domaine. Les balises adkim et aspf contrôlent la rigueur avec laquelle le domaine authentifié doit correspondre à votre en-tête From. Un alignement strict est plus sécurisé mais nécessite des correspondances de domaine exactes, de sorte que la plupart des expéditeurs conservent la valeur par défaut plus souple pendant le déploiement.
Publication du dossier
- 1
1. Créez l'enregistrement TXT
Ajoutez un enregistrement TXT sur l'hôte _dmarc pour votre domaine avec la valeur commençant par v=DMARC1.
- 2
2. Commencez par la surveillance
Définissez p=none et ajoutez votre adresse rua pour que les rapports commencent à circuler sans affecter la livraison.
- 3
3. Vérifier la propagation
Interrogez _dmarc.yourdomain.com pour confirmer la résolution de l'enregistrement. Une analyse de domaine gratuite par EmailAuth vérifie cela pour vous.
- 4
4. Renforcer la politique
Après avoir confirmé la réussite des expéditeurs légitimes, mettez la politique en quarantaine, puis rejetez-la.
Erreurs courantes
- Publication de plusieurs enregistrements DMARC , ce qui invalide complètement DMARC . Gardez-en exactement un.
- Mettre l'enregistrement sur le mauvais hôte. Il doit se trouver à _dmarc , pas dans le domaine racine.
- Oublier la balise rua, qui vous rend aveugle à vos propres sources d'envoi.
- Passer directement à p=reject avant d'authentifier chaque service, ce qui bloque le vrai courrier.
EmailAuth peut héberger votre enregistrement DMARC par délégation CNAME , afin que vous puissiez mettre à jour les paramètres de stratégie et de reporting sans modifier DNS à chaque fois. Il analyse également les données RUA et RUF collectées par ces balises dans des tableaux de bord clairs.
Questions fréquemment posées
Où puis-je mettre un enregistrement DMARC ?
Un enregistrement DMARC est un enregistrement TXT publié sur l'hôte _dmarc.yourdomain.com . Pour un sous-domaine, publiez-le sur _dmarc.subdomain.yourdomain.com . Un seul enregistrement DMARC TXT est autorisé par domaine.
Quel est l’enregistrement DMARC minimum valide ?
L'enregistrement valide le plus court est v=DMARC1; p=none. En pratique, vous devez également ajouter une adresse rua afin de recevoir des rapports agrégés, par exemple v=DMARC1; p=none; rua=mailto:rua@example.com.
Que fait PCT dans un enregistrement DMARC ?
La balise PCT applique votre stratégie uniquement à un pourcentage de courriers défaillants, ce qui est utile pour un déploiement progressif. Par exemple p=quarantine; pct=25 met en quarantaine un quart des messages ayant échoué. En protection complète, vous définissez pct=100 ou omettez-le, puisque 100 est la valeur par défaut.
Quelle est la différence entre adkim et aspf ?
adkim définit le mode d'alignement pour DKIM et aspf le définit pour SPF . Les deux acceptent r pour détendu, la valeur par défaut, ou s pour strict. Relaxed permet au domaine organisationnel de correspondre, tandis que strict nécessite une correspondance de domaine exacte.
Qu'est-ce qu'un enregistrement DMARC ?
Il s'agit d'un enregistrement DNS TXT qui publie votre politique DMARC , vos règles d'alignement et vos adresses de reporting pour votre domaine.
Comment ajouter un enregistrement DMARC ?
Dans votre fournisseur DNS , créez un enregistrement TXT avec l'hôte _dmarc et une valeur telle que v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Utilisez un générateur DMARC pour le construire sans erreurs de syntaxe.
Comment puis-je vérifier mon enregistrement DMARC ?
Utilisez un vérificateur ou une recherche DMARC : entrez votre domaine et il récupère _dmarc.yourdomain.com et explique chaque balise.
Puis-je avoir deux enregistrements DMARC ?
Non. Les destinataires ignorent complètement DMARC lorsqu'ils trouvent plusieurs enregistrements, alors fusionnez-les en un seul.
[ DMARC guide ]
Provenance de l'entreprise
Pourquoi les principales institutions financières et gouvernements ont retiré leurs tableaux de bord de sécurité de messagerie.
Les plateformes traditionnelles d'authentification de courrier électronique vous vendent un tableau de bord et demandent à vos ingénieurs de faire le travail. Dans les environnements à enjeux élevés, la surveillance manuelle entraîne des retards dans l’application, des dérives de configuration et des domaines fantômes non surveillés.
EmailAuth est la plateforme agent de provenance des e-mails. Nos agents appliquent p=reject, gardez les expéditeurs tiers alignés et déplacez vos domaines au maximum RFC 9989 conformité, la nouvelle norme DMARC , avec une auditabilité humaine dans la boucle.
SaaS · Location dédiée · Air-gappé sur site · Chiffrement BYOK