Résumé
DMARC (Domain-based Message Authentication, Reporting and Conformance) est un protocole d'authentification email qui s'appuie sur SPF et DKIM pour définir comment traiter les emails non authentifiés. Il génère des rapports détaillés sur les tentatives d'usurpation d'identité liées à votre domaine. Cet article explique sa définition précise, son fonctionnement technique (combinaison SPF + DKIM + politique de traitement), ses trois politiques possibles (none, quarantine, reject), ses cas d'utilisation (entreprises traitant des données sensibles, secteurs ciblés par le phishing), et les quatre raisons de son adoption croissante : confiance des destinataires, délivrabilité, conformité réglementaire, protection contre la fraude.
Le DMARC joue un rôle crucial dans la protection contre les attaques de phishing et la fraude électronique en authentifiant vos messages. Depuis les nouvelles exigences de Google, Yahoo (2024) et Microsoft (2025), il est devenu indispensable pour tout expéditeur souhaitant maintenir une bonne délivrabilité.
1. Qu'est-ce que le DMARC ?
Définition
DMARC signifie Domain-based Message Authentication, Reporting, and Conformance. C'est un protocole qui vise à établir l'authenticité des emails en vérifiant l'identité du domaine expéditeur. Son objectif est d'assurer que les emails sont bien émis par le domaine qu'ils prétendent représenter, minimisant ainsi le risque d'usurpation d'identité.
Fonctionnement
Le DMARC s'appuie sur deux protocoles existants :
- SPF (Sender Policy Framework) : vérifie si l'email provient d'un serveur autorisé par le propriétaire du domaine
- DKIM (DomainKeys Identified Mail) : vérifie la signature numérique de l'email, certifiant qu'il n'a pas été modifié en transit
Le DMARC va plus loin en édictant des directives précises sur comment traiter les emails qui ne satisfont pas aux critères SPF et DKIM. Ces directives permettent de spécifier ce que les serveurs de messagerie doivent faire des emails non conformes.
2. Les trois politiques DMARC
Quand vous publiez un enregistrement DMARC dans vos DNS, vous définissez une politique (paramètre p=) :
- p=none : mode surveillance — les emails non conformes sont délivrés normalement, mais vous recevez des rapports. C'est le point de départ recommandé pour comprendre votre situation.
- p=quarantine : les emails non conformes sont envoyés dans les spams des destinataires
- p=reject : les emails non conformes sont rejetés et ne sont pas délivrés
La progression recommandée est : none → quarantine → reject, en validant à chaque étape que vos propres emails légitimes passent bien l'authentification.
3. Objectifs et utilité du DMARC
Protection contre le phishing
Le DMARC agit comme une barrière contre les attaques de phishing en s'assurant que seuls les emails légitimes, provenant de sources authentifiées, sont délivrés. Il bloque les tentatives d'usurpation d'identité de votre entreprise — quelqu'un qui enverrait des emails "de la part de" votre domaine sans autorisation.
Rapports détaillés
L'une des fonctionnalités les plus précieuses du DMARC est la génération de rapports XML (rapports agrégés et forensiques) qui vous informent de toutes les tentatives d'usurpation liées à votre domaine. Vous avez une visibilité complète sur les sources qui envoient des emails en votre nom — légitimes ou non.
Amélioration de la délivrabilité
En authentifiant vos emails, le DMARC améliore leur délivrabilité. Les serveurs Gmail, Yahoo et Outlook sont plus enclins à délivrer en boîte de réception les emails provenant de domaines correctement configurés.
4. Cas d'utilisation du DMARC
- Toutes les entreprises envoyant des emails marketing : depuis 2024, c'est une obligation de facto pour maintenir la délivrabilité chez Gmail et Yahoo
- Secteurs sensibles : finance, santé, services gouvernementaux, e-commerce — particulièrement ciblés par le phishing
- Entreprises avec plusieurs sous-domaines d'envoi : le DMARC permet de contrôler et surveiller l'ensemble
5. Pourquoi l'adoption croît rapidement
- Exigences des fournisseurs de messagerie : Google, Yahoo (depuis février 2024) et Microsoft (depuis mai 2025) l'exigent. Sans DMARC, vos emails risquent d'être rejetés.
- Confiance des destinataires : les destinataires qui voient votre marque affichée proprement (avec BIMI, qui nécessite DMARC p=quarantine minimum) font davantage confiance à vos communications.
- Conformité réglementaire : DMARC s'aligne avec les normes de sécurité et de protection des données.
- Protection de votre réputation : en bloquant l'usurpation de votre domaine, vous protégez à la fois vos destinataires et la réputation de votre marque.
