DMARC

Ce qu’est DMARC

Domain-based Message Authentication, Reporting, and Conformance est la couche de politique au-dessus de SPF et DKIM. Ces deux mécanismes produisent un résultat réussite ou échec, mais chacun authentifie une identité différente : SPF vérifie l’expéditeur d’enveloppe, DKIM vérifie le domaine signataire, et aucun des deux n’est tenu de correspondre à l’adresse From: que la personne voit. DMARC comble cette lacune. Il ne passe que si au moins l’un des deux, SPF ou DKIM, réussit et que le domaine ainsi authentifié est aligné avec le domaine du From:. Il indique ensuite aux destinataires quoi faire des messages qui échouent.

La politique est un enregistrement TXT à _dmarc.example.com :

v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com; adkim=s; aspf=r

Lire les balises

• p= est la politique pour les messages en échec : none (livrer, seulement rapporter), quarantine (envoyer en spam) ou reject (refuser).
• rua= indique où vont les rapports agrégés. Les destinataires envoient un résumé XML quotidien des sources qui ont envoyé des e-mails pour votre domaine et de leur authentification.
• ruf= demande des rapports forensiques pour les échecs individuels ; beaucoup de destinataires n’en envoient plus.
• adkim= et aspf= règlent l’alignement en mode souple (r, sous-domaines autorisés) ou strict (s, correspondance exacte).
• pct= applique la politique à un pourcentage des messages en échec, utile pendant le déploiement.
• sp= définit une politique distincte pour les sous-domaines.

Pourquoi c’est important

Un domaine sans DMARC, ou avec p=none, peut être usurpé dans le champ From: visible, et c’est précisément sur cela que repose le hameçonnage. Les grands fournisseurs de messagerie exigent désormais un enregistrement DMARC de quiconque envoie des e-mails en volume, et ils classent plus favorablement les messages venant de domaines avec une politique contraignante. Les rapports ont une valeur en soi : ils révèlent chaque service qui envoie au nom de votre domaine, y compris les oubliés et les usurpateurs, c’est-à-dire l’information nécessaire avant de passer de none à reject.

Comment vérifier

Utilisez l’outil de recherche DNS avec le type TXT sur _dmarc.votredomaine.com. Il doit y avoir exactement un enregistrement commençant par v=DMARC1. Pour voir DMARC à l’œuvre, collez les en-têtes d’un message reçu dans l’analyseur d’en-têtes d’e-mail : la ligne Authentication-Results affiche dmarc=pass ou dmarc=fail avec la politique appliquée par le destinataire.

Un déploiement raisonnable

Commencez par p=none et une adresse rua=, lisez les rapports pendant quelques semaines, corrigez chaque source légitime en échec, passez à p=quarantine avec un pct= croissant, et terminez par p=reject. Sauter l’étape de surveillance, c’est ainsi que des entreprises voient leurs propres factures finir dans le dossier spam.