Chaque jour, Gmail, Outlook, Yahoo et les autres messageries peuvent vous dire quels serveurs ont envoyé des e-mails au nom de votre domaine, et si ces messages ont passé SPF et DKIM. Ces rapports DMARC agrégés sont des fichiers XML que personne n’a envie de lire à la main. À partir de l’offre Solo, Perimetry Cloud les reçoit et les lit pour vous.

Activer les rapports

Ouvrez la page d’un domaine prouvé et trouvez la carte Rapports DMARC.
Appuyez sur Recevoir les rapports DMARC (propriétaires et administrateurs). La carte donne l’adresse réservée à ce domaine, de la forme dmarc+…@perimetry.cloud.
Publiez l’enregistrement DMARC affiché dans la carte. Il est construit à partir de votre enregistrement actuel, pour que rien ne s’y perde : notre adresse est ajoutée à sa balise rua=, à côté de celles que vous utilisez déjà. Si aucun audit n’a encore lu votre enregistrement, lancez-en un d’abord, ou ajoutez vous-même l’adresse à la balise rua=.
Patientez un ou deux jours. Les messageries envoient leurs rapports une fois par jour, pour la veille, dès que votre enregistrement contient l’adresse.

Une fois les rapports activés, les enregistrements DMARC proposés sous vos constats contiennent aussi l’adresse.

Lire les rapports

La carte résume les 30 derniers jours : la part des messages qui ont passé DMARC, et le nombre de rapports reçus des grandes messageries. Expéditeurs et détails ouvre la page complète :

Période : les 7, 30 ou 90 derniers jours.
Émetteurs : Grandes messageries (Google, Microsoft, Yahoo), dont personne d’autre ne peut imiter les rapports, ou Tous les émetteurs, qui ajoute les autres dont le domaine d’envoi est prouvé par DKIM.
Expéditeurs : chaque expéditeur en votre nom, avec ses messages, combien ont passé DMARC (SPF ou DKIM aligné), les serveurs utilisés, et combien de messages les destinataires ont envoyés en spam ou refusés. Les expéditeurs qui ont des messages en échec sont mis en évidence.

Un expéditeur est le domaine qui a signé le message (DKIM), sinon le domaine de son enveloppe (SPF), sinon son adresse.

Que faire d’un expéditeur en échec

Un service que vous utilisez (outil de lettre d’information, facturation, service d’assistance…) : ajoutez-le à votre enregistrement SPF, ou configurez DKIM dans ce service.
Un expéditeur que vous ne connaissez pas : quelqu’un utilise votre nom. C’est exactement ce qu’arrête une politique DMARC plus stricte. Marquez-le Pas à moi dans la carte DMARC pas à pas.

Arrêter les rapports

Ne plus recevoir les rapports coupe l’adresse aussitôt ; les rapports déjà lus sont conservés. Retirez aussi notre adresse de la balise rua= de votre enregistrement. Si votre offre n’inclut plus les rapports DMARC, les nouveaux sont reçus mais ne sont plus lus, jusqu’à ce que vous les désactiviez ou choisissiez une offre qui les inclut.

Les rapports TLS

Les mêmes offres peuvent aussi recevoir des rapports TLS (TLS-RPT) : les serveurs qui vous envoient du courrier disent chaque jour combien de leurs connexions à vos serveurs de messagerie ont été chiffrées, et pourquoi les autres ont échoué (un certificat expiré, un nom qui ne correspond pas, pas de STARTTLS, un problème MTA-STS ou DANE). Suivez le lien rapports TLS (TLS-RPT) de la carte des rapports DMARC :

Appuyez sur Recevoir les rapports TLS (propriétaires et administrateurs, sur un domaine prouvé).
Publiez l’enregistrement _smtp._tls affiché. Il remplace tout enregistrement _smtp._tls existant, car un domaine n’en a qu’un.
Les premiers rapports arrivent un ou deux jours plus tard. La page montre alors, sur 7, 30 ou 90 jours, les sessions réussies et en échec, chaque émetteur, et pourquoi des sessions ont échoué, serveur de messagerie par serveur de messagerie, chaque raison en mots simples.

Un rapport envoyé en HTTPS ne peut pas prouver qui l’a envoyé : son émetteur est montré tel qu’il se nomme. Ne plus recevoir les rapports TLS coupe l’adresse aussitôt ; les rapports déjà lus sont conservés.

Confidentialité

Les rapports sont lus dès leur arrivée, puis le message brut est effacé. Un rapport qui ne concerne pas le domaine pour lequel il a été envoyé est écarté. L’adresse d’un domaine cesse de fonctionner si le domaine perd sa preuve de propriété.

Pour lire un seul rapport sans compte, utilisez le lecteur de rapports DMARC gratuit, qui fonctionne entièrement dans votre navigateur.