DMARC de p=none à p=reject : pas à pas, sans bloquer votre propre courrier

On passe de p=none à p=reject en quatre étapes : d'abord des semaines de collecte de rapports, puis la mise en ordre de chaque source qui envoie au nom de votre domaine, ensuite la quarantaine sur un petit pourcentage, et le refus en dernier. Qui saute une étape bloque en général son propre logiciel de facturation ou sa boutique. Comptez quelques mois, pas un après-midi.

Pourquoi pas directement en refus

DMARC indique au destinataire quoi faire d'un message qui se présente comme votre domaine mais échoue au contrôle. Le problème, c'est qu'« échouer au contrôle » vaut aussi pour votre courrier légitime tant qu'il n'est pas correctement aligné. Un module de facturation qui passe par un vieux serveur, un formulaire de contact sur le site, un prestataire qui envoie une enquête en votre nom : tous échouent jusqu'à ce que vous les régliez. Si vous passez en p=reject aujourd'hui, ce courrier disparaît demain sans le moindre message d'erreur chez vous.

Étape 1 : p=none avec rapports

Publiez un enregistrement DMARC avec la règle none et une adresse de rapport. Cela ne bloque rien ; les destinataires vous signalent simplement chaque jour qui a envoyé au nom de votre domaine et si cela a réussi. N'utilisez pas une boîte personnelle comme adresse de rapport : ce sont des fichiers XML et il y en aura beaucoup. Faites-les traiter par un outil qui les résume par source d'envoi.

Étape 2 : lisez pendant au moins quatre semaines

Laissez l'enregistrement un mois. La facturation tourne chaque mois, certains rappels chaque trimestre, et vous voulez tout voir. Dressez la liste de chaque source qui apparaît dans les rapports et décidez pour chacune : est-ce à nous, et si oui, qui la gère ? On trouve presque toujours plus qu'on ne pensait. Un vieux formulaire sur le site, une caisse dans une succursale, un CRM qu'un collaborateur a connecté un jour.

Étape 3 : mettez chaque source légitime en ordre

Par source, il y a trois possibilités. Soit vous l'ajoutez à votre SPF et veillez à ce que le domaine d'expéditeur corresponde. Soit vous la faites signer en DKIM pour votre domaine, ce qui est plus robuste parce que cela survit aux transferts. Soit vous la déplacez vers un relais SMTP où les deux sont déjà réglés et où chaque application reçoit son propre identifiant. Cette dernière voie est souvent la plus courte, surtout pour les systèmes dont plus personne ne connaît l'accès. Ce que vous ne reconnaissez pas comme légitime, laissez-le échouer : c'est exactement à cela que sert DMARC.

Attention, pour SPF, à la limite de dix consultations DNS. Qui ajoute aveuglément chaque prestataire la dépasse, et SPF échoue alors pour tout le monde. Élaguez ce qui ne sert plus.

Étape 4 : quarantaine sur un petit pourcentage

Dès que les rapports ne montrent plus, pendant quelques semaines, que des sources légitimes qui réussissent, passez la règle en quarantine avec un pourcentage de dix, par exemple. Seul un dixième du courrier en échec part alors en indésirables. Si personne ne remarque rien, montez à cinquante, puis à cent. Continuez à lire les rapports ; une source qui n'envoie qu'une fois par trimestre peut n'apparaître que maintenant.

Étape 5 : reject

Quand la quarantaine à cent pour cent tourne quelques semaines sans plainte, passez la règle en reject. Le courrier en échec est désormais refusé au lieu d'être classé en indésirables. N'oubliez pas vos sous-domaines : sans réglage distinct, ils héritent de la règle du domaine principal, ce qui est en général ce que vous voulez, mais vérifiez qu'aucun sous-domaine d'envoi n'est encore en défaut.

Ce que vous continuez à faire ensuite

Lire les rapports, moins souvent mais régulièrement. Chaque nouveau prestataire qui envoie en votre nom passe d'abord par l'authentification, puis seulement en production. Inscrivez-le dans la liste de contrôle de tout nouveau système, sinon l'histoire recommence. Pour comprendre les rapports, notre page sur la délivrabilité explique ce que signifient les chiffres.

Questions fréquentes

Combien de temps prend l'ensemble ?

Pour une petite entreprise avec trois systèmes d'envoi, deux à trois mois. Pour une organisation avec beaucoup de services et de prestataires, davantage. Le temps ne va pas aux modifications DNS mais à la recherche de tout ce qui envoie.

Et si un prestataire ne peut pas signer en DKIM pour mon domaine ?

Il reste SPF, avec la réserve que le courrier transféré échouera. Envisagez alors de faire envoyer ce prestataire depuis un sous-domaine séparé, pour que votre domaine principal puisse rester strict.

p=quarantine ne suffit-il pas ?

Pour beaucoup d'usages, si. Mais seul le refus garantit que le courrier usurpé n'atterrit même pas dans un dossier de spam, et certaines applications, comme le logo dans la boîte de réception, exigent une règle appliquée.