DMARC pas à pas jusqu’à p=reject

Une politique DMARC en p=none ne fait qu’observer. Pour empêcher d’autres personnes d’envoyer des e-mails en votre nom, la politique doit passer à p=quarantine (le courrier en échec va en spam), puis à p=reject (il est refusé). Fait trop tôt, ce durcissement bloque aussi vos propres lettres d’information ou factures. La carte DMARC : pas à pas jusqu’à p=reject vous dit quand chaque étape est sans risque, d’après ce que montrent les rapports.

Quand la carte apparaît

Sur la page d’un domaine prouvé, à partir de l’offre Solo, une fois les rapports DMARC activés. Si le domaine n’a pas encore d’enregistrement DMARC, publiez-en un d’abord (le constat DMARC de votre rapport en donne un prêt à copier) : les étapes partent de la surveillance, p=none.

Les trois étapes

Étape	Politique	Ce que devient le courrier qui échoue à DMARC
Surveillance	`p=none`	Distribué normalement ; les rapports le montrent.
Quarantaine	`p=quarantine`	Envoyé en spam.
Rejet	`p=reject`	Refusé.

Quand l’étape suivante est prête

La carte indique que le domaine est prêt pour la politique suivante quand les rapports des grandes messageries (Google, Microsoft, Yahoo), depuis la publication de la politique actuelle, montrent tout cela à la fois :

durée : au moins 14 jours sous la politique actuelle, pour que chaque service qui envoie en votre nom ait eu le temps d’apparaître ;
volume : au moins 3 rapports et 50 messages ;
réussite : au moins 98 % des messages passent DMARC ;
aucun expéditeur en échec, hormis ceux que vous avez marqués comme n’étant pas à vous.

D’ici là, la carte liste ce qui retient l’étape : les jours restants, les rapports manquants, la part des messages qui passent, ou les expéditeurs en échec. Si aucun rapport récent n’est arrivé, elle le dit : vérifiez que votre enregistrement nous les envoie toujours.

Un service qui envoie très peu d’e-mails peut ne pas apparaître dans les rapports des grandes messageries. Vérifiez aussi votre propre liste d’expéditeurs avant d’avancer.

Que faire pour chaque expéditeur en échec

À côté de chaque expéditeur dont le courrier échoue, la carte dit qui il est et quoi faire :

un service d’envoi que nous connaissons (Google Workspace, Microsoft 365, SendGrid, Mailchimp, Brevo, Amazon SES et une vingtaine d’autres) : son courrier a été signé ou envoyé au nom du service, pas au vôtre. La carte nomme le service et l’endroit, dans ses réglages, où authentifier votre domaine ; il vous donne des enregistrements DKIM à publier ;
votre propre domaine : souvent du courrier transféré ou passé par une liste de diffusion (quelques messages, c’est normal), sinon l’un de vos serveurs absent du SPF et qui ne signe pas ;
une simple adresse : un serveur qui ne signe pas et n’utilise aucun domaine. S’il est à vous (site web, application, imprimante), envoyez par votre service de messagerie ou ajoutez-le au SPF ;
un expéditeur que nous ne connaissons pas : un service que vous utilisez, à configurer, ou quelqu’un qui utilise votre nom.

Sous la liste, la carte dit combien de messages, environ, iraient en spam ou seraient refusés si la politique suivante s’appliquait aujourd’hui.

Les expéditeurs qui ne sont pas à vous

Un expéditeur que vous ne reconnaissez pas, c’est quelqu’un qui utilise votre nom : exactement ce que l’étape suivante arrête. Appuyez sur Pas à moi à côté de lui : son courrier en échec ne retient plus l’étape. Finalement à moi le remet.

Franchir l’étape

Quand le domaine est prêt, la carte montre l’enregistrement à publier : votre enregistrement actuel avec la nouvelle politique, pct= retiré pour que la politique s’applique à chaque message, une politique de sous-domaines (sp=) plus faible relevée avec elle, et notre adresse de rapports conservée.

Copiez-le dans votre zone DNS, ou
avec les offres Agency et un fournisseur DNS connecté, appliquez-le en un clic. L’étape est revérifiée au moment où vous l’appliquez, et notée au journal avec annulation comme les autres corrections DNS. C’est le seul cas où l’application écrit p=reject pour vous.

Le prochain audit lit la nouvelle politique, et les rapports la suivent dès le lendemain.

L’alerte

Quand un domaine devient prêt pour son étape suivante, une alerte part une fois vers les canaux de la page Alertes réglés sur « changements » ou « toujours ». La date figure aussi dans le calendrier des échéances.

Une fois en p=reject, la carte l’indique. Les rapports continuent de montrer qui envoie en votre nom.