Vérificateur DMARC

Vérifiez l’enregistrement DMARC d’un domaine : sa politique arrête-t-elle les e-mails falsifiés, où partent ses rapports et ces adresses les acceptent-elles, et avec quelle rigueur SPF et DKIM doivent correspondre à l’adresse From.

Les requêtes DNS partent directement de votre navigateur vers des résolveurs publics (Cloudflare, Google) : nous ne voyons rien.

Ce que vérifie le vérificateur DMARC

L’emplacement de l’enregistrement: DMARC se trouve à _dmarc.<domaine>. Un sous-domaine sans enregistrement propre hérite de celui de son domaine organisationnel, avec sp= à la place de p= : le vérificateur suit la même règle que les destinataires.
La politique (p): none ne fait que surveiller, quarantine envoie les e-mails en échec en indésirables, reject les refuse. Seuls quarantine et reject protègent le domaine.
Les sous-domaines (sp) et pct: sp=none laisse tous les sous-domaines ouverts même si le domaine est en reject. pct est obsolète depuis la RFC 9989 (mai 2026), encore lu par certains destinataires, ceux restés sur la RFC 7489, qui n’appliquent alors la politique qu’à une partie des e-mails ; t=y est le mode test qui le remplace.
Les rapports (rua et ruf): rua= reçoit les rapports agrégés quotidiens, ruf= les rapports d’échec. Chaque adresse doit commencer par mailto:. Sans rua, impossible de voir qui envoie des e-mails en votre nom.
L’autorisation des rapports externes: Quand les rapports partent vers un autre domaine (un service DMARC, votre agence), ce domaine doit publier <votre domaine>._report._dmarc.<son domaine>. Le vérificateur le cherche pour chaque adresse concernée.
Alignement et syntaxe: adkim et aspf fixent la proximité exigée entre les domaines SPF et DKIM et le From : r (souple) accepte un sous-domaine, s (strict) seulement le domaine exact. Les valeurs invalides et les enregistrements en double sont signalés.

Comment lire le résultat

Vert : appliqué: p=quarantine ou p=reject sur tous les e-mails, avec des rapports qui arrivent. Un e-mail falsifié en votre nom part en indésirables ou est refusé.
Orange : en surveillance: p=none, pct inférieur à 100, sp=none, ou des rapports qui ne seront pas livrés. Rien n’est cassé, mais les e-mails falsifiés sont encore distribués.
Rouge : absent ou invalide: Pas d’enregistrement, deux enregistrements, une politique ou une adresse de rapports invalide : les destinataires n’appliquent pas DMARC, ou seulement en partie.
Le tableau des réglages: Chaque balise de l’enregistrement avec sa signification. Une balise absente prend sa valeur par défaut : adkim=r, aspf=r, t=n, et sp identique à p (pct=100 pour les destinataires restés sur la RFC 7489).

Erreurs DMARC fréquentes et leur correction

Voici les messages qu’affichent d’autres outils, les retours d’erreur et l’en-tête Authentication-Results quand DMARC manque, est trop faible ou échoue, avec ce qu’il faut changer.

`DMARC policy not enabled`

Pourquoi. L’enregistrement existe, mais sa politique est p=none : les destinataires envoient des rapports et distribuent quand même les e-mails falsifiés.

Correction. Lisez les rapports agrégés deux à quatre semaines, faites passer chaque expéditeur légitime par SPF ou DKIM avec votre domaine, puis passez à p=quarantine et, quelques semaines plus tard, à p=reject.

`No DMARC record found`

Pourquoi. Rien n’est publié à _dmarc.<domaine>. L’enregistrement a été mis sur le domaine lui-même, ou l’interface DNS a ajouté la zone deux fois (_dmarc.exemple.fr.exemple.fr).

Correction. Créez un enregistrement TXT nommé _dmarc (l’interface ajoute le domaine) avec v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine pour commencer. Le générateur DMARC l’écrit pour vous.

`550 5.7.26 Unauthenticated email from example.com is not accepted due to domain's DMARC policy`

Pourquoi. Gmail a refusé un message en échec DMARC sur un domaine en p=reject (ou l’a classé en indésirable en quarantine). S’il venait de vous, un de vos expéditeurs n’est pas aligné, par exemple un outil d’e-mailing qui signe avec son propre domaine.

Correction. Configurez DKIM pour ce service avec votre propre domaine (les enregistrements CNAME qu’il fournit), ou un return-path personnalisé pour que SPF soit aligné. Le lecteur de rapports DMARC montre quelles sources échouent.

`550 5.7.509 Access denied, sending domain does not pass DMARC verification and has a DMARC policy of reject`

Pourquoi. Le même refus chez Outlook.com et Microsoft 365 : le message a échoué à DMARC et le domaine demande reject.

Correction. Alignez l’expéditeur en échec, comme ci-dessus. Les e-mails transférés et les listes de diffusion sont l’exception habituelle : gardez la signature DKIM pour qu’elle survive au transfert.

`External domains in your DMARC are not giving permission for your reports to be sent to them`

Pourquoi. rua ou ruf pointe vers une adresse d’un autre domaine qui n’a pas publié l’enregistrement d’autorisation : les destinataires n’y envoient rien.

Correction. Demandez au service de rapports de publier <votre domaine>._report._dmarc.<son domaine> avec v=DMARC1 (la plupart le font pour leurs clients), ou utilisez une adresse de votre propre domaine.

`Multiple DMARC records found`

Pourquoi. Deux enregistrements TXT à _dmarc commencent par v=DMARC1. Les destinataires n’appliquent alors aucune politique DMARC, comme si le domaine n’en avait pas.

Correction. Gardez un seul enregistrement, commençant par v=DMARC1; puis p=, avec des balises séparées par des points-virgules.

`DMARC record does not start with v=DMARC1`

Pourquoi. Un enregistrement TXT à _dmarc qui ne commence pas par v=DMARC1 (du texte avant, une faute de frappe, un guillemet resté à l’intérieur) n’est pas un enregistrement DMARC : les destinataires l’ignorent. S’il est le seul, le domaine n’a pas de DMARC.

Correction. Faites de v=DMARC1; les tout premiers caractères de la valeur, puis p=. Le vérificateur ne lit que les enregistrements qui commencent ainsi.

Questions

Quelle politique DMARC choisir ?

Commencez par p=none avec une adresse rua pour voir qui envoie en votre nom. Quand toutes les sources légitimes passent, passez à quarantine, puis à reject. Gmail et Yahoo exigent au moins p=none des expéditeurs en nombre depuis 2024 ; c’est reject qui arrête vraiment l’usurpation.

Qu’est-ce que l’alignement DMARC ?

DMARC réussit quand SPF ou DKIM réussit pour un domaine qui correspond à l’adresse From. L’alignement souple (r, par défaut) accepte le même domaine organisationnel, donc mail.exemple.fr est aligné avec exemple.fr ; l’alignement strict (s) exige le nom exact.

Pourquoi mes rapports DMARC n’arrivent-ils pas ?

En général pour l’une de trois raisons : pas de balise rua, une adresse sans mailto:, ou une adresse d’un autre domaine qui n’a pas publié l’enregistrement d’autorisation. Les rapports arrivent une fois par jour, et seulement des plus gros destinataires.

Les sous-domaines ont-ils besoin de leur propre DMARC ?

Non. Un sous-domaine sans enregistrement suit celui du domaine organisationnel, avec sp= comme politique. Omettez sp (il suit alors p) ou mettez sp=reject, sauf si un sous-domaine a besoin de son propre déploiement.

pct sert-il encore ?

pct appliquait la politique à une partie des e-mails pendant un déploiement. La RFC 9989 (mai 2026), qui remplace la RFC 7489, le supprime au profit d’un indicateur de test, t=y. Avec t=y, la politique n’est pas suspendue : elle descend d’un cran, reject traité comme quarantine et quarantine comme none (RFC 9989, section 4.7). Les destinataires encore sur la RFC 7489 ignorent t= et appliquent la politique entière, et certains lisent encore pct. Pour un essai, ajoutez t=y, puis retirez-le quand les rapports sont propres.