DMARC
Politique publiée dans le DNS qui indique quoi faire des courriels usurpant un domaine et fournit des rapports sur leur authentification.
Définition complète
DMARC (Domain-based Message Authentication, Reporting and Conformance) permet au propriétaire d’un domaine de publier une politique de traitement des courriels qui échouent aux contrôles d’authentification. Il s’appuie sur SPF et DKIM et vérifie surtout leur alignement avec le domaine affiché dans le champ « De » que voit le destinataire.
Trois politiques existent : none (aucune consigne, simple observation), quarantine (les messages non conformes sont considérés comme suspects, souvent envoyés en indésirables) et reject (ils doivent être refusés). DMARC prévoit aussi des rapports agrégés envoyés par les messageries destinataires, qui révèlent qui envoie des courriels au nom du domaine.
DMARC a d’abord été décrit dans la RFC 7489 (2015). Il est désormais normalisé par la RFC 9989 (mai 2026), complétée par les RFC 9990 et 9991 pour les rapports ; cette version supprime notamment la balise « pct » qui permettait d’appliquer la politique à une fraction des messages.
Source : IETF, RFC 9989 (DMARC), ANSSI, Recommandations relatives à l’interconnexion d’un SI à Internet (PA-066)
Exemple concret
Un fabricant de meubles découvre que ses clients reçoivent de fausses factures envoyées depuis son propre nom de domaine. Il publie une politique DMARC en mode none et analyse les rapports pendant un mois : ils révèlent son outil d’e-mailing, oublié dans SPF, et des milliers de messages frauduleux venant d’Asie. Après correction de SPF et DKIM, il passe en quarantine puis en reject : les fausses factures sont rejetées par les messageries des clients.
Comment se protéger
- Commencer par une politique p=none avec une adresse de réception des rapports agrégés.
- Analyser les rapports pour identifier tous les services d’envoi légitimes et corriger leur SPF et leur DKIM.
- Passer progressivement à quarantine puis à reject : rester en none ne protège pas contre l’usurpation.
- Publier une politique reject sur les domaines et sous-domaines qui n’envoient jamais de courriels.
- Surveiller les rapports dans la durée, à chaque nouvel outil ou prestataire d’envoi.
- Côté réception, faire appliquer les politiques DMARC des expéditeurs par sa passerelle de messagerie.
Questions fréquentes
La cible est reject, qui bloque l’usurpation du domaine. On y arrive par étapes : none pour observer, quarantine pour tester, reject une fois que tous les envois légitimes sont authentifiés et alignés.
Il empêche l’usage de votre nom de domaine exact. Il ne bloque pas un domaine ressemblant (une lettre changée) ni un message envoyé depuis une boîte réellement piratée. La vigilance et la protection des comptes restent nécessaires.
Elle est rendue obsolète par la RFC 9989, publiée en mai 2026. Les enregistrements existants restent compris par les messageries, mais la balise pct n’existe plus dans la nouvelle norme.
Termes liés
Compromission de messagerie professionnelle (BEC)
Prise de contrôle ou usurpation d’une boîte mail professionnelle pour détourner des paiements, voler des données ou piéger les contacts.
Phishing
Technique d'hameçonnage par email pour voler des données sensibles.
DKIM
Signature cryptographique ajoutée aux courriels, qui prouve qu’ils proviennent bien du domaine annoncé et n’ont pas été modifiés.
Fraude au président (faux ordre de virement, FOVI)
Escroquerie où un fraudeur usurpe l’identité d’un dirigeant ou d’un fournisseur pour obtenir un virement urgent vers un compte frauduleux.
Vous avez besoin d'un expert en DMARC ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.