Une fois vos trois enregistrements en place, une question reste ouverte, et c'est la plus importante : qu'est-ce qui doit arriver à un message qui échoue à l'authentification ?
C'est tout l'objet de la politique DMARC. Elle se résume à un mot dans votre enregistrement, mais ce mot change tout y compris votre exposition à l'usurpation d'identité.
Les trois politiques
p=none observer
v=DMARC1; p=none; rua=mailto:rapports@votredomaine.fr
Aucun message n'est bloqué. Les serveurs destinataires vérifient, constatent l'échec le cas échéant, livrent quand même, et vous envoient un rapport.
Ce que ça apporte : la visibilité. Vous découvrez quels services envoient en votre nom, lesquels échouent, et éventuellement qu'une adresse inconnue en Asie envoie des messages signés de votre domaine.
Ce que ça n'apporte pas : la moindre protection. Un escroc qui envoie une fausse facture en votre nom passera exactement comme avant.
p=quarantine mettre de côté
v=DMARC1; p=quarantine; rua=mailto:rapports@votredomaine.fr
Les messages qui échouent sont livrés, mais dans les indésirables. C'est une étape intermédiaire confortable : si vous avez oublié un service légitime, ses messages ne sont pas perdus un destinataire attentif les retrouvera dans son dossier de courrier indésirable.
C'est aussi la limite de cette politique : ce qui protège vos clients d'une fausse facture, c'est qu'elle n'arrive pas, pas qu'elle arrive dans le mauvais dossier.
p=reject refuser
v=DMARC1; p=reject; rua=mailto:rapports@votredomaine.fr
Le message est refusé avant livraison. C'est la seule politique qui protège réellement : une tentative d'usurpation de votre domaine n'atteint jamais son destinataire.
C'est aussi la seule qui puisse vous couper un service légitime oublié, sans que personne ne s'en aperçoive de votre côté. D'où la progression.
La progression à suivre
Étape 1 Observer. Publiez p=none avec une adresse de rapports que vous consultez, et laissez tourner le temps de couvrir un cycle complet d'activité : facturation mensuelle, campagne d'infolettre, relances automatiques. Le but n'est pas d'attendre un délai précis, c'est que tous vos usages soient passés au moins une fois.
Étape 2 Lire les rapports et corriger. C'est le vrai travail. Vous allez y trouver, dans l'ordre de fréquence :
- des outils légitimes absents de votre SPF à ajouter ;
- des outils tiers qui réussissent SPF pour leur propre domaine mais échouent l'alignement à configurer avec une signature DKIM à votre nom ;
- éventuellement de vraies tentatives d'usurpation la raison d'être de tout l'exercice.
Étape 3 Durcir progressivement. DMARC permet de n'appliquer la politique qu'à une fraction du courrier, avec le paramètre pct :
v=DMARC1; p=quarantine; pct=25; rua=mailto:rapports@votredomaine.fr
Un quart du trafic est mis en quarantaine, le reste passe. Si rien ne casse, vous montez. C'est le garde-fou le plus utile de tout le dispositif, et presque personne ne s'en sert.
Étape 4 Refuser. Une fois p=quarantine; pct=100 stable et vos rapports propres, passez à p=reject. Gardez les rapports actifs : ils resteront votre seule alerte le jour où un nouveau service sera mis en place sans être déclaré.
Le piège de l'alignement
Un message peut réussir SPF et échouer DMARC. Ce n'est pas une anomalie, c'est le fonctionnement normal.
DMARC n'exige pas seulement une vérification réussie, il exige que le domaine validé soit celui affiché au destinataire. Un outil d'infolettre qui envoie depuis ses serveurs valide son domaine, pas le vôtre : SPF est vert, l'alignement échoue, DMARC rejette.
La solution est toujours la même : faire signer les messages en DKIM avec votre domaine. Tous les services d'envoi sérieux le permettent, c'est généralement présenté sous l'appellation « authentifier son domaine ».
Où en est votre domaine
Notre outil SPF et DMARC affiche la politique actuellement publiée. Si vous y lisez p=none, vous êtes en observation : vous voyez, mais vous n'êtes pas protégé et c'est exactement le cas de la grande majorité des domaines que nous testons.
Pour la mise en place initiale, le guide de configuration pas à pas couvre les trois enregistrements. Et si vos messages finissent en indésirables malgré une configuration correcte, la cause est peut-être ailleurs : les sept causes, dans l'ordre.
Une politique en observation ne protège personne. Elle sert à préparer celle qui protégera.