Configurer un DMARC record

Nous vous suggérons de configurer un Domain-based Message Authentication Reporting and Conformance (DMARC) record afin de surveiller vos domaines. Le protocole DMARC permet de surveiller les messages frauduleux qui peuvent nuire à votre marque, ainsi que le trafic légitime pour la performance d'authentification des protocoles Sender Policy Framework (SPF) et DomainKeys Identified Mail (DKIM).

Pour obtenir de l'aide afin de créer un DMARC record, utilisez le DMARC Record Assistant de Kitterman.

Processus pour configurer et implémenter un DMARC record

Pour implémenter un DMARC record, procédez comme suit :

1. Contactez l'administrateur Domain Name System (DNS) de votre entreprise.
2. Demandez à votre administrateur DNS de créer un TXT record sous forme d'entrée DNS pour _dmarc.[your-domain] avec votre DMARC record.
3. Utilisez la syntaxe suivante dans le TXT record sous forme d'entrée DMARC :

• v=DMARC1; p=aucun; fo=1; rua=mailto:saisissez votre adresse email; ruf=mailto:saisissez votre adresse email 
  • Par exemple : 
    • v=DMARC1; p=none; fo=1; rua=mailto:dmarc_rua@auth.sampledomain.net; ruf=mailto:dmarc_ruf@auth.sampledomain.net
    • Assurez-vous de saisir vos adresses email après « mailto: ». Les rapports sont envoyés à ces adresses.
    • Si vous travaillez avec un ESP ou un autre tiers qui recevra les rapports DMARC en votre nom, demandez à votre chargé de compte quelle adresse email vous devriez utiliser.
• Voici l'enregistrement suggéré pour la première implémentation du protocole DMARC.
  • v=DMARC1 indique la version du protocole.
  • Le DMARC record suggéré ci-dessus inclut une règle de surveillance (p=none). Cela signifie que vous ne donnez pas l'instruction aux opérateurs de messagerie de prendre des mesures si vos messages ne passent pas l'authentification. 
  • fo permet aux opérateurs de messagerie de savoir que vous souhaitez recevoir des échantillons des messages qui ont échoué lors de la vérification SPF et/ou DKIM. Pour la valeur :
    • Utilisez 0 pour recevoir un rapport en cas d'échec des vérifications SPF et DKIM. (par défaut)
    • Utilisez 1 pour recevoir un rapport en cas d'échec des vérifications SPF ou DKIM. (recommandé)
  • rua contient l'adresse à laquelle vous souhaitez recevoir les rapports agrégés.
  • ruf contient l'adresse à laquelle vous souhaitez recevoir les rapports d'investigation numérique.
  • Pour commencer à recevoir les rapports DMARC sans affecter votre campagne email en cours, nous vous suggérons de publier l'enregistrement avec la balise p=none. 

Une fois l'implémentation du protocole DMARC effectuée, nous vous recommandons de surveiller vos domaines pendant 30 jours au minimum. Vous pourrez ainsi vous assurer que vos propres messages légitimes sont authentifiés correctement avant de décider d'implémenter une règle de rejet (p=reject) ou de quarantaine (p=quarantine).

Informations sur les destinations pour l'envoi des rapports

Le protocole DMARC a la capacité d'envoyer des rapports à plusieurs adresses de destination. Cependant, vous devriez éviter d'utiliser plus de deux destinations différentes, car de nombreux opérateurs de messagerie n'envoient pas de rapports à plus de deux adresses. 

Si plusieurs adresses email sont nécessaires pour les rapports DMARC, chaque destination doit être précisée dans les blocs d'instruction RUA et RUF du DMARC record. En outre, chaque destination doit être délimitée par une virgule dans les blocs RUA et RUF. 

Remarque : n'indiquez pas plusieurs instructions RUA et RUF, car votre DMARC record sera considéré comme incorrect et les rapports ne seront pas générés.

Exemple de DMARC record correct avec plusieurs destinations pour l'envoi des rapports :

• v=DMARC1; p=none; fo=1;  rua=mailto:dmarc_agg@auth.sampledomain.net,mailto:dmarc_aggdata@exampledestination.com;  ruf=mailto:dmarc_afrf@auth.sampledomain.net,mailto:dmarc_forensic@exampledestination.com

Exemple de DMARC record incorrect avec plusieurs destinations pour l'envoi des rapports :

• v=DMARC1; p=none; fo=1; rua=mailto:dmarc_agg@auth.sampledomain.net, rua=mailto:dmarc_aggdata@exampledestination.com; 
  ruf=mailto:dmarc_afrf@auth.sampledomain.net, ruf=mailto:dmarc_forensic@exampledestination.com