DMARC : empêcher l'usurpation de votre adresse

Sans DMARC, un escroc peut envoyer à vos clients un e-mail qui affiche votre adresse exacte. Avec DMARC, ce message est refusé avant d'arriver.

C'est quoi ?

SPF et DKIM permettent de vérifier un e-mail. DMARC est la consigne qui va avec : « si un message à mon nom échoue à ces vérifications, voici quoi en faire ». Il y a trois consignes possibles :

• none (observer) : ne rien bloquer, seulement m'envoyer des rapports.
• quarantine : ranger le message suspect dans les spams.
• reject : le refuser purement et simplement.

Pourquoi c'est important

L'arnaque classique : un faux e-mail de « votre comptable » ou de « votre fournisseur » qui annonce un changement de RIB. Si votre nom de domaine n'a pas de DMARC, n'importe qui peut envoyer ce message avec votre adresse, et il arrivera dans la boîte de réception. C'est votre nom qui est abîmé, et parfois l'argent de votre client qui part.

Depuis 2024, Gmail et Yahoo demandent aussi un DMARC aux expéditeurs de gros volumes : c'est devenu la norme.

Ce que le bilan peut signaler

• Pas de DMARC : aucune consigne, l'usurpation est possible.
• DMARC en simple observation : la consigne est « none ». C'est une bonne première étape, mais elle ne bloque rien.
• DMARC sans adresse de rapport : vous ne recevez pas les rapports qui montrent qui envoie des e-mails à votre nom.
• DMARC illisible : la ligne contient une erreur, elle est ignorée.

Que faire

On procède par étapes. D'abord « none » avec une adresse de rapport, pendant quelques semaines, pour vérifier que tous vos vrais e-mails passent bien SPF ou DKIM. Ensuite « quarantine », puis « reject ». Passer directement à « reject » sans vérifier, c'est risquer de bloquer vos propres factures.