Corriger une politique DMARC trop faible

Si une analyse de sécurité a signalé que votre politique DMARC est trop faible, votre domaine n'est pas entièrement protégé contre l'usurpation d'e-mails. Ce guide explique ce que signifie ce constat, pourquoi il compte et comment le corriger précisément, sans perturber l'acheminement de vos e-mails.

Ce que signifie ce constat

DMARC (Domain-based Message Authentication, Reporting and Conformance) est un enregistrement DNS qui indique aux serveurs de messagerie destinataires quoi faire lorsqu'un e-mail se présentant comme venant de votre domaine échoue à l'authentification. Il existe trois niveaux de politique :

• p=noneDemande une simple surveillance. Les destinataires appliquent leur propre traitement aux messages qui échouent à DMARC.
• p=quarantineDemande un traitement particulier, qui peut aller jusqu'au classement en spam.
• p=rejectDemande le rejet des messages qui échouent à DMARC.

Si votre analyse indique p=none ou p=quarantine, votre domaine peut encore être usurpé. Des attaquants peuvent envoyer des e-mails d'hameçonnage qui semblent venir de votre domaine, et de nombreux destinataires les recevront.

Pourquoi c'est important

L'usurpation d'e-mails est une voie courante vers la fraude par compromission de messagerie professionnelle (BEC). Une politique p=none demande aux destinataires de surveiller les échecs sans demander de quarantaine ni de rejet : elle fournit des éléments utiles, mais une application faible.

Avant de modifier quoi que ce soit

Passer immédiatement à p=reject peut bloquer des e-mails légitimes si vos enregistrements SPF et DKIM ne couvrent pas toutes vos sources d'envoi. Avant de durcir votre politique :

1. Assurez-vous que votre enregistrement DMARC contient une adresse de rapport (rua=) afin de recevoir les rapports agrégés
2. Consultez vos rapports DMARC pour repérer toute source légitime qui échoue à l'authentification
3. Vérifiez que SPF couvre chaque service qui envoie des e-mails en votre nom (par exemple Microsoft 365, Google Workspace, Mailchimp, Salesforce)
4. Vérifiez que DKIM est configuré pour votre plateforme de messagerie principale

Si vous n'êtes pas certain que toutes vos sources d'envoi sont authentifiées, examinez d'abord les rapports agrégés et corrigez l'alignement SPF ou DKIM avant de demander le rejet. L'ancienne balise pct ne fait plus partie de la norme DMARC actuelle.

Comment corriger, étape par étape

Étape 1 : trouver votre enregistrement DMARC actuel

Votre enregistrement DMARC est un enregistrement DNS TXT situé sur _dmarc.yourdomain.com. Il ressemble à ceci :

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Étape 2 : modifier la valeur de la politique

Remplacez p=none ou p=quarantine par p=reject. Un enregistrement complet recommandé :

v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com

• rua= : adresse à laquelle sont envoyés les rapports agrégés (résumés XML quotidiens)
• Publier rua= permet de demander des rapports ; vérifiez que la boîte ou le service de réception les reçoit et les traite réellement

Étape 3 : mettre à jour l'enregistrement DNS TXT

Connectez-vous chez votre fournisseur DNS et mettez à jour l'enregistrement TXT situé sur _dmarc.yourdomain.com avec la nouvelle valeur ci-dessus.

Étape 4 : attendre la propagation

La propagation mondiale des modifications DNS peut prendre jusqu'à 48 heures, même si la plupart des fournisseurs les appliquent en quelques minutes à une heure.

Vérifier que cela fonctionne

Lancez une nouvelle analyse de votre domaine sur mydomainrisk.com : le constat DMARC apparaîtra comme résolu et votre score augmentera. Vous pouvez aussi vérifier avec une requête DNS :

nslookup -type=TXT _dmarc.yourdomain.com

Encore des échecs après avoir durci votre politique ?

Si des e-mails légitimes commencent à être rejetés après le passage à p=reject, vos rapports agrégés DMARC indiqueront quelles sources échouent. Les coupables habituels sont des services tiers, comme des plateformes CRM, des outils marketing ou des services d'assistance, qui envoient des e-mails en votre nom sans figurer dans votre enregistrement SPF.