Outil gratuit

Générateur DMARC

Choisissez votre politique, l'adresse qui recevra les rapports et l'alignement : obtenez un enregistrement DMARC prêt à publier sur _dmarc de votre domaine.

  • Gratuit, sans inscription
  • Aperçu instantané
  • Lecture DNS : 5 par jour

Sert au nom d'hôte et à lire DMARC, SPF et DKIM publiés. La lecture compte dans la limite de 5 analyses gratuites par jour.

Politique (p)

Progression recommandée : none pendant quelques semaines en lisant les rapports, puis quarantine (éventuellement avec un pourcentage réduit), puis reject quand plus aucun email légitime n'échoue.

Adresse qui reçoit chaque jour la synthèse des résultats d'authentification. Plusieurs adresses séparées par des virgules ; le préfixe mailto: est ajouté automatiquement.

Confidentialité : ces rapports peuvent contenir des extraits d'emails, donc des données personnelles. Peu de messageries les envoient ; ne les activez que si vous savez les traiter.

Alignement souple : un sous-domaine (mail.exemple.fr) est accepté pour exemple.fr. Stricte : le domaine doit être identique. Les options d'échec ne concernent que les rapports ruf.

Votre enregistrement

Type
TXT
Nom d'hôte
_dmarc

Beaucoup d'interfaces DNS ajoutent le domaine automatiquement : saisissez alors seulement _dmarc.

Valeur

v=DMARC1; p=none
À vérifier avant publication
Enregistrement généré automatiquement, à titre indicatif. Nous ne pouvons pas garantir qu'il convient à votre configuration : vérifiez-le avec votre fournisseur de messagerie ou votre prestataire avant de le publier. Une erreur peut empêcher la délivrance de vos emails.
Sans adresse rua, p=none ne vous apprend rien : ajoutez une adresse pour recevoir les rapports agrégés avant de durcir la politique.

Surveillez votre SPF et votre DMARC : alerte dès qu'ils changent

Un enregistrement modifié ou supprimé par erreur peut bloquer vos emails. Domains Defender surveille vos enregistrements DNS et vous prévient. Gratuit pour un domaine.

Créer un compte gratuit Vérifier la sécurité email complète

Guide · Mis à jour le

Enregistrement DMARC : le guide pratique

Ce que fait DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) est un enregistrement DNS de type TXT publié sur le nom _dmarc de votre domaine. Il complète SPF et DKIM sur trois points.

  • L'alignement : un email passe DMARC si SPF ou DKIM réussit avec un domaine qui correspond à celui de l'adresse visible (From). C'est ce qui empêche un fraudeur d'afficher votre adresse tout en s'authentifiant avec son propre domaine.
  • La politique : vous indiquez aux messageries quoi faire des emails qui échouent : les laisser passer, les mettre en spam ou les refuser.
  • Les rapports : les messageries vous envoient des synthèses sur les emails reçus avec votre domaine, légitimes ou non.

Chaque balise expliquée

  • v=DMARC1 : obligatoire et en premier, écrit exactement ainsi.
  • p : la politique, obligatoire. none observe sans agir, quarantine demande de traiter les échecs comme suspects (dossier spam), reject demande de les refuser.
  • sp : la politique des sous-domaines. Absente, c'est p qui s'applique.
  • pct : le pourcentage des emails en échec auxquels la politique s'applique (100 par défaut). Les autres reçoivent la politique inférieure : avec p=quarantine; pct=25, un quart des échecs va en spam et le reste est traité comme none.
  • rua : les adresses qui reçoivent les rapports agrégés, au format mailto:.
  • ruf : les adresses qui reçoivent les rapports d'échec détaillés. Peu de messageries les envoient, et ils peuvent contenir des données personnelles.
  • adkim et aspf : l'alignement de DKIM et de SPF. r (souple, par défaut) accepte un sous-domaine du même domaine, s (strict) exige le domaine exact.
  • fo : les cas qui déclenchent un rapport d'échec. 0 (défaut) quand SPF et DKIM échouent tous les deux, 1 quand l'un des deux échoue, d pour DKIM, s pour SPF.

Déployer DMARC sans bloquer ses propres emails

  1. Observation. Publiez p=none avec une adresse rua et laissez tourner deux à quatre semaines, le temps de voir passer tous vos flux (factures mensuelles, relances, newsletters).
  2. Correction. Dans les rapports, identifiez chaque source légitime qui échoue et configurez-la : include SPF manquant, DKIM non activé, domaine d'envoi non aligné.
  3. Quarantaine progressive. Passez à p=quarantine avec un pct réduit, puis augmentez-le par paliers en surveillant les rapports et les retours de vos utilisateurs.
  4. Rejet. Quand les rapports ne montrent plus d'échec légitime, passez à p=reject. Gardez l'adresse rua : un nouvel outil d'envoi mal configuré apparaîtra tout de suite.

Lire les rapports agrégés

Les rapports rua arrivent en pièce jointe compressée, au format XML, généralement une fois par jour et par messagerie. Chaque ligne regroupe une adresse IP d'envoi, un nombre de messages, le domaine From, les résultats SPF et DKIM et la décision appliquée. Cherchez en priorité les IP à fort volume qui échouent : ce sont souvent vos propres services mal configurés. Les petites IP inconnues en échec correspondent plutôt à des tentatives d'usurpation. Des services spécialisés transforment ces fichiers en tableaux lisibles ; si vous en utilisez un, son adresse de réception se place dans rua.

Les exigences de Gmail et Yahoo

Depuis 2024, Gmail et Yahoo demandent aux expéditeurs qui envoient de gros volumes vers leurs utilisateurs d'authentifier leurs emails avec SPF et DKIM, de publier un enregistrement DMARC, au minimum en p=none, et d'aligner le domaine From avec SPF ou DKIM. Tous les expéditeurs doivent au moins disposer de SPF ou de DKIM. Les seuils de volume et les autres règles (désinscription en un clic, taux de plaintes) sont définis par chaque messagerie et peuvent évoluer : référez-vous à leurs pages officielles. Notre article sur les exigences de Google, Yahoo et Microsoft les résume.

DKIM, l'autre pilier

DKIM ajoute à chaque email une signature vérifiable avec une clé publique publiée dans le DNS, sur un nom de la forme selecteur._domainkey.exemple.fr. Contrairement à SPF, la signature survit en général au transfert d'un email, ce qui en fait le mécanisme le plus fiable pour passer DMARC. Le sélecteur est choisi par chaque fournisseur d'envoi et ne peut pas être deviné : il figure dans l'en-tête DKIM-Signature (valeur s=) de vos emails, ou dans la console du service. Activez DKIM chez chacun de vos services avant de durcir la politique.

Où publier l'enregistrement

Dans l'éditeur de zone DNS du domaine (OVHcloud, Cloudflare, Gandi…), ajoutez un enregistrement TXT avec le nom _dmarc ; la plupart des interfaces complètent le domaine automatiquement. Collez la valeur générée. S'il existe déjà un DMARC, modifiez-le : un seul enregistrement est autorisé. Vérifiez ensuite avec l'outil Sécurité Email, ou dans les en-têtes d'un email reçu (dmarc=pass dans Authentication-Results).

Erreurs fréquentes

  • Envoyer les rapports rua vers un autre domaine sans autorisation : ce domaine doit publier un TXT exemple.fr._report._dmarc.autre-domaine.com contenant v=DMARC1. Les services de rapports le font généralement pour leurs clients.
  • Passer à reject trop tôt, avant d'avoir identifié tous les expéditeurs légitimes.
  • Oublier les sous-domaines : ceux qui envoient des emails doivent être authentifiés, ceux qui n'envoient rien peuvent être verrouillés avec sp=reject.
  • Une faute dans v=DMARC1, un point-virgule manquant ou l'enregistrement publié à la racine du domaine au lieu de _dmarc.
  • Publier DMARC sans adresse rua : aucune visibilité sur ce qui échoue.

Exemples par étape

1. Observation

v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr

2. Quarantaine sur un quart des échecs

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@exemple.fr

3. Rejet, sous-domaines compris

v=DMARC1; p=reject; rua=mailto:dmarc@exemple.fr

Domaine qui n'envoie aucun email

v=DMARC1; p=reject

Ces exemples et l'enregistrement généré sont fournis à titre indicatif. Vérifiez-les avec votre fournisseur de messagerie ou votre prestataire avant de les publier : une erreur peut empêcher la délivrance de vos emails.

FAQ

Questions fréquentes

Quelle politique DMARC choisir pour commencer ?

Commencez par p=none avec une adresse rua : rien ne change pour la délivrance de vos emails, mais vous recevez les rapports qui montrent qui envoie avec votre domaine. Après deux à quatre semaines, corrigez les expéditeurs légitimes qui échouent, passez à p=quarantine en augmentant progressivement pct, puis à p=reject.

Que contiennent les rapports rua et ruf ?

Les rapports rua sont des synthèses au format XML, généralement quotidiennes : adresses IP d'envoi, volumes, résultats SPF, DKIM et DMARC. Ils ne contiennent pas le contenu des emails. Les rapports ruf, plus rares, décrivent des échecs individuels et peuvent inclure des extraits de messages, donc des données personnelles.

Faut-il DKIM pour utiliser DMARC ?

DMARC fonctionne avec SPF seul, mais c'est fragile : SPF échoue dès qu'un email est transféré. DKIM signe le message lui-même et résiste mieux aux transferts. Configurez DKIM chez chacun de vos services d'envoi avant de passer à quarantine ou reject.

Comment trouver mon sélecteur DKIM ?

Le sélecteur est choisi par votre fournisseur d'envoi et varie de l'un à l'autre. Ouvrez les en-têtes d'un email envoyé et cherchez la valeur s= dans la ligne DKIM-Signature, ou consultez la console d'administration de votre messagerie.

Google et Yahoo exigent-ils DMARC ?

Depuis 2024, Gmail et Yahoo demandent aux expéditeurs en volume d'authentifier leurs emails avec SPF et DKIM et de publier un DMARC, au minimum en p=none, avec un domaine From aligné. Les seuils et le détail des règles sont fixés par chaque messagerie : consultez leurs pages dédiées.

Les sous-domaines sont-ils protégés par DMARC ?

Oui. Sans enregistrement DMARC propre, un sous-domaine suit celui du domaine principal : la balise sp s'applique si elle est présente, sinon p. Vous pouvez donc protéger strictement les sous-domaines inutilisés avec sp=reject tout en gardant p=none sur le domaine principal pendant la phase d'observation.

L'enregistrement généré est-il garanti ?

Non. Le résultat est fourni à titre indicatif, à partir de vos réponses. Vérifiez-le avec votre fournisseur de messagerie ou votre prestataire avant de le publier : une politique trop stricte ou une erreur de syntaxe peut empêcher la délivrance de vos emails.