DMARC : protéger votre domaine contre l'usurpation d'e-mails

Par Mouhamed BANKOLE, CEO chez ITNET Technologies · Mis à jour le 2 novembre 2026 · Lecture : 10 min

Un client vous signale un e-mail « envoyé par vous » qui réclame un virement, ou vos propres messages commencent à arriver en spam chez Gmail et Outlook. Dans les deux cas, la réponse s'appelle DMARC : l'enregistrement DNS qui dit aux messageries quoi faire d'un e-mail qui se fait passer pour votre domaine. Ce guide explique ce que DMARC ajoute à SPF et DKIM, comment choisir entre les politiques none, quarantine et reject, comment publier l'enregistrement et lire les rapports, puis comment passer en reject sans bloquer vos propres envois. Il intègre aussi les changements de la nouvelle norme publiée en 2026.

En résumé

• DMARC protège votre domaine contre l'usurpation : il demande aux messageries de vérifier que l'adresse « De » visible est bien authentifiée par SPF ou DKIM.
• Trois politiques existent : p=none (observer), p=quarantine (mettre en spam) et p=reject (refuser).
• L'enregistrement est un simple TXT publié sous _dmarc.votredomaine.fr, par exemple v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr.
• Les rapports agrégés vous montrent chaque jour qui envoie des e-mails avec votre domaine, légitimement ou non.
• On passe en reject progressivement, après avoir authentifié tous ses services d'envoi : c'est la seule politique qui bloque réellement l'usurpation.

Sommaire

1. Qu'est-ce que DMARC ?
2. Que fait DMARC de plus que SPF et DKIM ?
3. Qu'est-ce que l'alignement DMARC ?
4. Quelle politique DMARC choisir : none, quarantine ou reject ?
5. Comment créer un enregistrement DMARC ?
6. Comment lire les rapports DMARC ?
7. Comment passer progressivement en reject ?
8. Qu'est-ce qui change avec la nouvelle norme DMARC ?
9. Pourquoi Gmail et Outlook exigent-ils DMARC ?

Qu'est-ce que DMARC ?

DMARC (Domain-based Message Authentication, Reporting and Conformance) est un enregistrement DNS qui indique aux messageries comment traiter un e-mail qui prétend venir de votre domaine sans être authentifié, et qui leur demande de vous envoyer des rapports. Il a été décrit par la RFC 7489, aujourd'hui remplacée par la RFC 9989.

DMARC remplit trois rôles :

• authentifier : il vérifie que l'adresse « De » affichée au destinataire correspond à un domaine validé par SPF ou DKIM ;
• décider : il dit au serveur destinataire quoi faire en cas d'échec (laisser passer, mettre en spam, refuser) ;
• informer : il vous fait parvenir des rapports sur tous les e-mails envoyés avec votre domaine.

C'est la pièce qui transforme SPF et DKIM, deux contrôles techniques, en protection réelle contre l'usurpation d'e-mail.

Que fait DMARC de plus que SPF et DKIM ?

SPF et DKIM authentifient un serveur ou une signature, mais aucun des deux ne protège l'adresse « De » que lit le destinataire ; DMARC fait le lien entre cette adresse visible et les deux contrôles. Un fraudeur peut envoyer un e-mail parfaitement authentifié par SPF pour son propre domaine, tout en affichant le vôtre dans le champ « De » : sans DMARC, rien ne l'en empêche.

Si SPF et DKIM ne sont pas encore en place, commencez par là : notre guide DKIM et SPF détaille leur configuration pas à pas.

Qu'est-ce que l'alignement DMARC ?

L'alignement est la règle centrale de DMARC : le domaine validé par SPF ou par DKIM doit correspondre au domaine de l'adresse « De » ; il suffit que l'un des deux soit à la fois valide et aligné pour que DMARC réussisse. Cette logique est définie dans la RFC 7489 et reprise par la RFC 9989.

Deux modes d'alignement existent, réglés par les balises aspf (pour SPF) et adkim (pour DKIM) :

• relâché (r, par défaut) : un sous-domaine est accepté, par exemple news.votredomaine.fr pour votredomaine.fr ;
• strict (s) : le domaine doit être exactement le même.

Les cas qui cassent l'alignement le plus souvent :

• un outil d'e-mailing qui envoie avec son propre domaine technique sans signer DKIM avec le vôtre ;
• un formulaire de site qui envoie depuis le serveur web sans être déclaré dans SPF ;
• un logiciel de facturation ou un CRM configuré avec votre adresse mais pas avec votre domaine ;
• le transfert automatique d'un e-mail, qui fait souvent échouer SPF (DKIM, lui, résiste si le message n'est pas modifié).

Quelle politique DMARC choisir : none, quarantine ou reject ?

Commencez toujours par p=none pour observer sans risque, passez à p=quarantine une fois vos envois légitimes authentifiés, puis terminez par p=reject, la seule politique qui bloque réellement l'usurpation. La balise p est définie par la RFC 9989.

Deux balises complètent la politique :

• sp fixe une politique différente pour les sous-domaines (par exemple sp=reject si vous n'envoyez jamais depuis un sous-domaine) ;
• t=y (nouveau mode test de la RFC 9989) signale que la politique est en cours de déploiement, selon Red Sift.

Conseil de pro : un domaine qui n'envoie jamais d'e-mails (domaine de marque, ancien domaine) doit être protégé quand même, avec v=DMARC1; p=reject et un SPF v=spf1 -all. Ce sont des cibles faciles pour l'usurpation.

Comment créer un enregistrement DMARC ?

Créer un enregistrement DMARC consiste à publier un TXT nommé _dmarc dans la zone DNS de votre domaine, avec au minimum la version, la politique et une adresse de réception des rapports. La syntaxe suit la RFC 9989.

La marche à suivre :

1. vérifiez SPF et DKIM : envoyez un e-mail vers Gmail et contrôlez « spf=pass » et « dkim=pass » dans l'original ;
2. créez une adresse dédiée aux rapports, par exemple dmarc@votredomaine.fr, ou utilisez un service d'analyse ;
3. ouvrez la zone DNS de votre domaine et ajoutez un enregistrement TXT de nom _dmarc ;
4. saisissez la valeur v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr ;
5. attendez la mise en cache (la durée du TTL), puis vérifiez avec dig TXT _dmarc.votredomaine.fr ;
6. laissez tourner deux à quatre semaines pour recueillir des rapports représentatifs.

Les balises à connaître :

La gestion DNS de Wayhost permet de créer des enregistrements TXT depuis son interface, et la page e-mail professionnel consacre une question de sa FAQ à SPF, DKIM et DMARC (constaté le 2 novembre 2026). Si les rapports doivent arriver sur un autre domaine que le vôtre, ce domaine doit l'autoriser par un enregistrement spécifique, comme le prévoit la norme.

Comment lire les rapports DMARC ?

Les rapports agrégés (rua) sont des fichiers XML envoyés en général chaque jour par les grandes messageries ; ils listent, par adresse IP d'envoi, le nombre d'e-mails reçus avec votre domaine et le résultat de SPF, DKIM et DMARC. Leur format est désormais décrit par la RFC 9990, selon Red Sift.

Ce qu'il faut y chercher :

• les sources légitimes en échec : votre messagerie, votre outil d'e-mailing ou votre site qui échouent sur l'alignement, à corriger en priorité ;
• les sources inconnues : des adresses IP que vous ne reconnaissez pas et qui envoient avec votre domaine, signe d'usurpation ou d'un service oublié ;
• le volume par source, pour repérer un service qui envoie plus qu'attendu ;
• les messages transférés, qui échouent souvent sur SPF sans être frauduleux.

Les rapports XML bruts sont peu lisibles : un outil d'analyse les transforme en tableaux par source. Les rapports d'échec (ruf) donnent le détail message par message, mais certaines messageries ne les envoient pas pour des raisons de confidentialité.

Comment passer progressivement en reject ?

Le passage en reject se fait par étapes : observer en none, corriger chaque source légitime, passer en quarantine, puis en reject, en surveillant les rapports à chaque palier. Brûler les étapes est la cause la plus fréquente d'e-mails légitimes bloqués.

Un calendrier réaliste pour une PME :

1. semaines 1 à 4 : p=none, inventaire de toutes les sources d'envoi grâce aux rapports ;
2. au fil de l'eau : ajout de chaque service légitime dans SPF et activation de DKIM avec votre domaine ;
3. quand les rapports sont propres : p=quarantine, éventuellement avec t=y le temps de vérifier ;
4. deux à quatre semaines plus tard : p=quarantine sans mode test ;
5. objectif : p=reject, puis surveillance mensuelle des rapports.

Avant chaque palier, vérifiez :

• la messagerie principale et les boîtes partagées ;
• les outils marketing (newsletter, relances) ;
• les e-mails transactionnels de votre site ou boutique, souvent envoyés par l'hébergement web lui-même ;
• les logiciels métier (facturation, CRM, prise de rendez-vous).

Conseil de pro : la balise pct, utilisée jusqu'ici pour appliquer la politique à une partie des messages seulement, est supprimée par la nouvelle norme selon Red Sift. Pour un déploiement progressif, appuyez-vous désormais sur t=y et sur les paliers none, quarantine, reject.

Qu'est-ce qui change avec la nouvelle norme DMARC ?

En 2026, DMARC est devenu un projet de standard de l'IETF : la RFC 9989 remplace la RFC 7489, et deux RFC distinctes encadrent les rapports. D'après Red Sift, ces documents ont été publiés en mai 2026.

Les principaux changements, selon Red Sift :

• pct supprimée : la politique s'applique à tout le trafic, et le mode test t=y / t=n prend le relais ;
• rf et ri supprimées, car peu utilisées ;
• fin de la Public Suffix List : le domaine organisationnel est désormais déterminé par un parcours de l'arborescence DNS ;
• nouvelle balise psd, pour les cas particuliers de domaines et sous-domaines organisationnels ;
• rapports séparés : agrégés dans la RFC 9990, d'échec dans la RFC 9991.

Ce que cela change pour vous : un enregistrement existant reste valide et n'a pas besoin d'être republié, d'après Red Sift. Retirez simplement pct s'il est utilisé durablement, et ne restez pas indéfiniment en p=none.

Pourquoi Gmail et Outlook exigent-ils DMARC ?

Gmail et Outlook exigent DMARC des expéditeurs de gros volumes pour lutter contre l'usurpation et le spam, et un domaine sans DMARC voit sa délivrabilité baisser, même pour de petits envois. Gmail impose DMARC aux expéditeurs de plus de 5 000 messages par jour vers des comptes personnels, avec un domaine « De » aligné, selon ses consignes pour les expéditeurs.

Ce qu'imposent les deux grandes messageries :

• Gmail : SPF ou DKIM pour tous les expéditeurs, et SPF, DKIM et DMARC pour les gros volumes, avec un taux de spam maintenu sous 0,3 % (consignes Google) ;
• Outlook.com, Hotmail et Live : depuis le 5 mai 2025, SPF, DKIM et DMARC pour les domaines envoyant plus de 5 000 e-mails par jour, avec un classement en courrier indésirable puis un rejet des messages non conformes, selon IT-Connect ;
• les autres messageries s'alignent progressivement sur ces pratiques.

Même sous ces seuils, publier DMARC est un signal de sérieux pour les filtres et protège vos clients contre les faux e-mails à votre nom. Pour comprendre l'ensemble de la chaîne, de l'adresse à la boîte, voyez notre guide sur la messagerie professionnelle.

Questions fréquentes

DMARC, c'est quoi en quelques mots ?

DMARC est un enregistrement DNS qui dit aux messageries quoi faire d'un e-mail qui se fait passer pour votre domaine sans être authentifié. Il s'appuie sur SPF et DKIM et vérifie l'adresse « De » visible. Il vous envoie aussi des rapports sur les e-mails envoyés avec votre domaine.

Faut-il SPF et DKIM pour mettre en place DMARC ?

Oui, DMARC s'appuie sur au moins l'un des deux, idéalement les deux. Un message passe DMARC si SPF ou DKIM est valide et aligné sur l'adresse « De ». Sans SPF ni DKIM, une politique stricte bloquerait vos propres e-mails.

Quelle est la différence entre p=quarantine et p=reject ?

Avec quarantine, un e-mail qui échoue est en général placé dans le dossier spam du destinataire. Avec reject, il est refusé et n'arrive pas du tout. Reject protège mieux, mais demande que tous vos services d'envoi soient correctement authentifiés.

Combien de temps rester en p=none ?

Le temps de recevoir des rapports représentatifs, en général deux à quatre semaines. Il faut ensuite corriger chaque source légitime en échec avant de durcir la politique. Rester indéfiniment en none ne protège pas votre domaine.

Comment vérifier mon enregistrement DMARC ?

Lancez dig TXT _dmarc.votredomaine.fr ou utilisez un outil de vérification en ligne. Vous pouvez aussi afficher l'original d'un e-mail reçu dans Gmail, qui indique le résultat DMARC. L'enregistrement doit commencer par v=DMARC1.

DMARC empêche-t-il le phishing ?

DMARC empêche l'usurpation exacte de votre domaine dans l'adresse « De », à condition d'être en quarantine ou reject. Il ne bloque pas les domaines ressemblants ni les e-mails envoyés depuis des adresses gratuites. La vigilance des utilisateurs reste nécessaire.

Mon enregistrement DMARC est-il encore valide avec la RFC 9989 ?

Oui, un enregistrement existant reste valide et n'a pas besoin d'être republié. La balise pct n'est plus définie par la nouvelle norme, il est donc conseillé de la retirer si vous l'utilisez durablement. Le mode test t=y la remplace pour les déploiements progressifs.

Une petite entreprise a-t-elle besoin de DMARC ?

Oui, car l'usurpation vise aussi les petites structures, notamment pour les fraudes au virement. DMARC améliore en outre la délivrabilité auprès de Gmail et Outlook. Sa mise en place tient en un enregistrement DNS et quelques semaines de suivi.

Ce qu'il faut retenir

• DMARC protège l'adresse « De » que lisent vos clients, ce que SPF et DKIM ne font pas seuls.
• L'alignement est la clé : SPF ou DKIM doit valider le même domaine que l'adresse visible.
• Commencez en p=none pour inventorier vos sources d'envoi grâce aux rapports.
• Visez p=reject par paliers, après avoir authentifié chaque service légitime.
• La RFC 9989 remplace la RFC 7489 : retirez pct et utilisez le mode test t=y.

Pour envoyer des e-mails à votre nom avec une configuration propre, découvrez l'offre e-mail professionnel Wayhost.

Article rédigé par Mouhamed BANKOLE, CEO chez ITNET Technologies.