Tout sur le DMARC, la clé de la délivrabilité des emails

Qu'est-ce que le DMARC ?

Imaginez le DMARC comme un garde de sécurité pour vos emails. Il vérifie si les emails envoyés depuis votre domaine sont authentiques ou s'ils sont des tentatives de phishing ou de spam. En substance, le DMARC aide à garantir que vos emails sont bien de vous et non pas de quelqu'un usurpant votre identité.

Comment se configure le DMARC ?

La configuration du DMARC implique quelques étapes simples :

Politique DMARC "none" (aucune) :

Cette politique est souvent utilisée lors de la phase de déploiement initial de DMARC ou pour surveiller le trafic email sans prendre d'action immédiate.
Lorsque la politique est définie sur "none", les fournisseurs de messagerie ne sont pas tenus de suivre la politique DMARC spécifiée dans l'enregistrement DMARC. Ils peuvent choisir de le faire à leur discrétion, mais cela n'est pas obligatoire.
Cette politique est souvent utilisée pour collecter des données sur les sources d'email légitimes et frauduleuses sans perturber la livraison des emails.

Politique DMARC "quarantine" (quarantaine) :

Avec cette politique, les emails qui échouent à la vérification DMARC sont placés dans une sorte de quarantaine par les fournisseurs de messagerie.
Les emails placés en quarantaine peuvent être dirigés vers un dossier "spam" ou "courrier indésirable" dans la boîte de réception du destinataire, ou être soumis à un traitement supplémentaire avant d'être livrés.
Utiliser cette politique est un compromis entre la tolérance aux faux positifs et la protection contre le phishing et le spam.

Politique DMARC "reject" (rejet) :

Cette politique est la plus stricte. Les fournisseurs de messagerie doivent rejeter les emails qui ne passent pas la vérification DMARC.
Les emails rejetés ne sont pas livrés à leurs destinataires et peuvent être renvoyés à l'expéditeur avec un message d'erreur indiquant que l'email a été rejeté en raison de la politique DMARC.
Cette politique est recommandée pour une protection maximale contre le phishing et le spoofing, mais elle peut également entraîner des faux positifs si la configuration n'est pas correcte.
En résumé, le choix de la politique DMARC dépend des besoins de sécurité et de la tolérance aux faux positifs de votre organisation. Il est important de peser les avantages et les inconvénients de chaque politique pour trouver celle qui convient le mieux à votre cas d'utilisation.
Surveillance et rapport : Enfin, activez la fonction de rapport DMARC pour recevoir des rapports réguliers sur les tentatives d'envoi d'emails frauduleux depuis votre domaine. Ces rapports vous aident à suivre les activités suspectes et à ajuster votre politique DMARC si nécessaire.

Quels sont les prérequis ?

Avant de configurer le DMARC, assurez-vous de :

• Avoir accès aux paramètres DNS de votre domaine.
• Comprendre les différents types de politiques DMARC et choisir celui qui convient le mieux à vos besoins.
• Être prêt à surveiller régulièrement les rapports DMARC pour détecter toute activité suspecte.

En suivant ces étapes simples et en comprenant les bases du DMARC, vous pouvez renforcer la sécurité de vos emails et protéger votre domaine contre les activités malveillantes en ligne.

Sur la zone DNS, la configuration DMARC est réalisée via un enregistrement TXT spécifique. Voici à quoi ressemble généralement un enregistrement DMARC dans une zone DNS :

Analysons les différents composants de cet enregistrement :

• _dmarc.votredomaine.com

Ceci est l'enregistrement DMARC pour votre domaine. Il est préfixé par _dmarc suivi de votre domaine.

• IN TXT 

Il s'agit du type d'enregistrement DNS, indiquant qu'il s'agit d'un enregistrement de texte.

• "v=DMARC1; p=none; rua=mailto:rapports@votredomaine.com; ruf=mailto:rapports-erreur@votredomaine.com; fo=1"

C'est la partie principale de l'enregistrement DMARC.

Voici ce que chaque composant signifie :

• v=DMARC1

Indique la version de la spécification DMARC utilisée (DMARC1)

• p=none 

Spécifie la politique DMARC à appliquer si l'email ne passe pas la vérification DMARC. Dans cet exemple, none signifie que les emails échouant à la vérification DMARC ne seront pas rejetés ou placés en quarantaine, mais seulement signalés

• rua=mailto:rapports@votredomaine.com 

Indique l'adresse email à laquelle les rapports d'agrégation DMARC doivent être envoyés. Ces rapports fournissent des informations agrégées sur les activités de vérification DMARC.

• ruf=mailto:rapports-erreur@votredomaine.com

Indique l'adresse email à laquelle les rapports d'échec DMARC doivent être envoyés. Ces rapports fournissent des informations sur les échecs de vérification DMARC pour chaque email envoyé depuis votre domaine.

• fo=1 

Indique comment gérer les échecs de vérification DMARC. Dans cet exemple, 1 signifie que seule la vérification de l'alignement de la signature DKIM est requise pour que l'email soit conforme à la politique DMARC.

En résumé, cet enregistrement DMARC spécifie une politique de vérification DMARC (p=none) sans rejet ou quarantaine des emails, mais avec des rapports d'agrégation et d'échec envoyés à des adresses spécifiées.

Rendez-vous sur le wiki.webo-facto.com pour lire notre tuto sur "Comment configurer mes mails dans ma Zone DNS" 
Lire le tuto sur la Zone DNS

Thomas et l'équipe webo-facto

Article co-écrit à l’aide de l’IA générative (correction des contenus texte + création d'image)