Exemple d'enregistrement DMARC : modèles pour chaque politique

Voici l'enregistrement DMARC fonctionnel le plus simple :

Publiez-le sous forme d'enregistrement TXT sur _dmarc.votredomaine.com. Et voilà ! Votre domaine dispose désormais d'un enregistrement DMARC valide qui répond aux exigences minimales de Google, Yahoo et Microsoft.

Si vous êtes pressé, cet enregistrement est tout ce dont vous avez besoin pour l'instant. Revenez au reste de ce guide lorsque vous serez prêt à comprendre le rôle de chaque balise, comment passer à des politiques plus strictes sans perturber votre messagerie, et pourquoi DMARC peut encore échouer même lorsque SPF et DKIM sont tous deux validés.

Pour tous les autres : voyons ensemble ce que signifie réellement l'enregistrement DMARC, le rôle de chaque niveau de politique, l'erreur d'alignement qui pose problème à la plupart des expéditeurs, et comment DMARC s'intègre dans votre stratégie globale de délivrabilité en tant qu'expéditeur B2B.

L'enregistrement DMARC le plus simple (et le rôle de chaque élément)

Un enregistrement DMARC est un enregistrement DNS de type TXT publié sur un sous-domaine spécifique de votre domaine :

L'enregistrement utile le plus simple se présente comme suit :

Trois éléments. C'est tout ce qu'il vous faut pour commencer.

v=DMARC1

Ceci définit la version. Chaque enregistrement DMARC doit commencer par cela. Il doit apparaître en premier, exactement tel qu'il est écrit. Il ne doit rien y avoir avant.

p=none

Voici la politique. Elle indique aux serveurs de messagerie destinataires comment traiter les messages qui ne respectent pas les règles DMARC. Avec p=none, la réponse est : rien. Le courrier circule normalement. Vous collectez des données. Aucun e-mail n’est bloqué ni filtré en raison de cet enregistrement.

C'est justement pour cela que c'est le bon point de départ. Vous activez la surveillance sans toucher à la mise en production.

rua=mailto:dmarc@yourdomain.com

Cette information indique aux fournisseurs de messagerie où envoyer vos rapports DMARC agrégés : il s'agit de résumés XML quotidiens indiquant quels systèmes envoient des e-mails en utilisant votre domaine et s'ils réussissent l'authentification. Remplacez cette adresse par une adresse que vous consultez régulièrement.

Sans rua=, vous n'avez aucune visibilité. L'enregistrement fonctionne, mais vous avancez à l'aveuglette.

Exemples d'enregistrements DMARC par politique

Chaque enregistrement DMARC contient une balise de politique (p=) qui indique aux serveurs destinataires comment réagir lorsqu'un e-mail échoue à l'authentification. Il existe trois options. Voici à quoi ressemble chacune d'entre elles et dans quels cas les utiliser. Pour en savoir plus sur le fonctionnement conjoint des protocoles SPF, DKIM et DMARC, consultez notre guide sur la mise en œuvre de SPF, DKIM et DMARC.

p=none - Mode de surveillance

Aucune mesure n'est prise en cas d'échec de l'envoi des messages. La messagerie continue de fonctionner normalement. Vous recevez des rapports quotidiens répertoriant tous les systèmes qui envoient des e-mails via votre domaine, indiquant s'ils passent l'authentification et d'où proviennent les échecs.

Utilisez « p=none » dans les cas suivants :

• Vous configurez DMARC pour la première fois
• Vous n'avez pas encore identifié tous les services qui envoient des e-mails en votre nom.
• Vous souhaitez avoir une vue d'ensemble avant d'intervenir sur le flux de messagerie

Il s'agit également du seuil minimum exigé par Google et Yahoo pour les expéditeurs en masse (plus de 5 000 e-mails par jour), ainsi que par Microsoft depuis mai 2025 pour les e-mails envoyés vers des adresses Outlook, Hotmail et Live.

p = quarantaine - Application prudente

Les messages qui ne parviennent pas à être remis sont considérés comme suspects. La plupart des serveurs destinataires les redirigent vers le dossier « spam » ou « courrier indésirable » au lieu de les bloquer purement et simplement.

Utilisez « p=quarantaine » dans les cas suivants :

• Les protocoles SPF et DKIM sont correctement configurés sur l'ensemble de vos plateformes d'envoi
• Les rapports DMARC montrent que les expéditeurs légitimes passent systématiquement l'authentification
• Vous souhaitez bénéficier d'une protection contre l'usurpation d'identité sans courir le risque d'un rejet pur et simple

p = rejet - Application intégrale

Les messages présentant des anomalies sont rejetés avant même d'atteindre leur destinataire. Il s'agit de la protection la plus efficace contre l'usurpation d'identité.

N'utilisez « p = rejet » que dans les cas suivants :

• Vous suivez les rapports DMARC depuis des semaines, voire des mois
• Chaque source d'envoi légitime est identifiée et authentifiée
• La conformité aux normes SPF, DKIM et DMARC est systématiquement vérifiée pour tous vos expéditeurs
• Vous disposez d'un processus continu permettant de contrôler les nouveaux outils avant leur envoi

Pourquoi le DMARC échoue alors que le SPF et le DKIM sont tous deux validés

C'est le problème DMARC le plus courant que nous rencontrons, et c'est celui que nos concurrents relèguent en annexe ou omettent carrément. Abordons-le donc sans détour.

Le fait que les tests SPF et DKIM soient réussis ne suffit pas. Pour que le test DMARC soit réussi, au moins l'un de ces résultats doit également correspondre au domaine que vos destinataires voient dans le champ « De : ».

Voici ce que signifie concrètement l'alignement :

• Alignement SPF : le domaine figurant dans le champ « Return-Path » de l'e-mail (l'expéditeur de l'enveloppe) doit correspondre au domaine figurant dans l'adresse « De : » visible
• Alignement DKIM : le domaine indiqué dans la signature DKIM (balise « d= ») doit correspondre au domaine figurant dans l'adresse « De : » visible

Le déclencheur le plus courant : vous connectez un CRM, un service d'assistance, un outil de prospection à froid ou une plateforme marketing. Cette plateforme envoie des e-mails en utilisant votre domaine dans le champ « De : », mais s'authentifie en arrière-plan sous son propre domaine. Les validations SPF et DKIM sont réussies pour le domaine de la plateforme. Mais elles ne correspondent pas à votre domaine dans le champ « De : ». Le DMARC échoue.

Nous constatons cela régulièrement lorsque des équipes ajoutent de nouveaux outils sans mettre à jour leur configuration DNS. Pour y remédier, il faut configurer chaque plateforme d'envoi de manière à ce qu'elle s'authentifie spécifiquement sous votre domaine, et non sous sa propre infrastructure partagée.

Un enregistrement DKIM par fournisseur de services de messagerie (ESP), et non par outil. Si un ESP envoie des e-mails pour plusieurs outils de votre infrastructure, vous devez disposer d'un enregistrement DKIM pour cet ESP, configuré pour signer avec votre domaine.

Comment diagnostiquer un problème d'alignement :

• Ouvrir un e-mail reçu et afficher les en-têtes du message d'origine
• Consultez l'en-tête « Authentication-Results » : il affiche les résultats SPF, DKIM et DMARC, ainsi que l'état de conformité.
• Vérifiez si le domaine authentifié correspond à votre domaine « De : »
• Consultez vos rapports agrégés DMARC pour identifier les schémas de non-conformité
• Réalisez un véritable test de placement dans la boîte de réception grâce au test anti-spam gratuit de MailReach afin de consulter les résultats d'authentification dans des conditions réelles de réception.

Si vous constatez des échecs DMARC qui vous semblent inexplicables, notre guide sur la résolution des échecs DMARC vous explique en détail les causes spécifiques et les solutions à adopter.

Exemples d'enregistrements DMARC pour des cas particuliers

La plupart des domaines peuvent s'appuyer sur l'exemple de base « p=none » présenté ci-dessus. Cependant, certaines situations nécessitent une approche différente.

Domaines parqués et domaines non émetteurs

Si un domaine n'envoie jamais d'e-mails (domaines « parqués », enregistrements défensifs, domaines destinés à la protection des marques), l'enregistrement DMARC approprié est un rejet catégorique, qui ne nécessite pas d'adresse de rapport :

Cela indique à tous les fournisseurs de messagerie de rejeter tout e-mail prétendant provenir de ce domaine. Étant donné qu'aucun e-mail légitime ne devrait jamais en provenir, il n'y a aucun risque de perturber le fonctionnement du service de messagerie.

Domaines de prospection secondaires pour les e-mails de prospection à froid B2B

C'est le cas d'utilisation que la plupart des guides sur le DMARC omettent complètement.

Si vous menez des campagnes de prospection à froid B2B, vous devriez utiliser des domaines secondaires, et non des sous-domaines de votre domaine principal. Les sous-domaines partagent la réputation du domaine parent. Un problème de délivrabilité sur un sous-domaine affecte également votre domaine principal. Les domaines secondaires (votresociété.co, votresociété.io) sont totalement distincts et se forgent leur propre réputation de manière indépendante.

Privilégiez les extensions courantes : .com, .co, .io. Évitez les TLD peu courants. Ils suscitent la méfiance avant même que votre e-mail n'arrive à destination.

Chaque domaine secondaire nécessite sa propre configuration d'authentification complète :

• Un enregistrement SPF dédié répertoriant ses expéditeurs autorisés
• Clés DKIM configurées par ESP pour ce domaine
• Son propre enregistrement DMARC
• Son propre processus de mise en route pour établir la réputation de l'expéditeur à partir de zéro

Dans le cadre de la prospection à froid B2B, DMARC ne constitue qu’une couche d’authentification. C’est la couche de réputation qui permet réellement aux e-mails de passer du dossier « spam » à la boîte de réception. Découvrez comment email warmup renforce la réputation d’expéditeur dont vos domaines secondaires ont besoin.

Protection des sous-domaines à l'aide de la balise « sp= »

Par défaut, les sous-domaines héritent de la politique DMARC du domaine parent. Si vous souhaitez exercer un contrôle explicite, utilisez la balise « sp= » :

p= s'applique à votre domaine d'organisation. sp= s'applique à tous les sous-domaines. Si vous disposez de sous-domaines inutilisés qui ne doivent en aucun cas envoyer d'e-mails, les verrouiller avec sp=reject empêche qu'ils soient utilisés à des fins d'usurpation d'identité.

Comment passer de « p=none » à « Enforcement » sans perturber votre messagerie

La publication de l'enregistrement DMARC ne prend que quelques minutes. Sa mise en œuvre s'étale sur plusieurs semaines. Les équipes qui rencontrent des difficultés sont presque toujours celles qui sautent l'étape de surveillance et ne se rendent compte de l'absence de certains expéditeurs qu'une fois que les e-mails légitimes commencent à être rejetés.

Voici la séquence qui fonctionne :

Étape 1 : Publier « p=none » et commencer à recueillir les rapports

Laissez cela en place pendant au moins deux à quatre semaines. Vérifiez que les rapports parviennent bien. Examinez-les.

Étape 2 : Identifiez tous les systèmes qui envoient des e-mails au nom de votre domaine

C'est là que la plupart des entreprises sont surprises. Outre votre fournisseur de messagerie principal, vérifiez :

• Plateformes CRM et outils d'engagement commercial
• Plateformes d'automatisation du marketing et de newsletter
• Services d'assistance et systèmes de gestion des tickets
• Logiciel de facturation
• Applications internes et notifications automatisées
• Outils de prospection à froid

Les rapports DMARC sont souvent le premier endroit où les équipes découvrent des systèmes d'envoi dont elles avaient oublié l'existence.

Étape 3 : Configurer l'authentification et l'alignement pour chaque expéditeur

Pour chaque plateforme d'envoi, vous trouverez :

• Vérifiez que le SPF est configuré et que l'adresse IP d'envoi est autorisée
• Publiez les enregistrements DKIM et activez la signature spécifiquement pour votre domaine
• Vérifiez que le domaine authentifié correspond bien à votre adresse d'expéditeur (« De : »)
• Vérifiez les résultats dans vos rapports DMARC avant de passer à l'étape suivante

Étape 4 : Déplacer vers p=quarantaine

Ne passez à cette étape qu’une fois que vos rapports indiquent que l’authentification est correcte pour tous vos expéditeurs. Poursuivez la surveillance. Vérifiez qu’aucun e-mail légitime ne se retrouve dans le dossier « Courrier indésirable ».

Étape 5 : Passer à p = rejet (lorsque les preuves le justifient)

Ne passer à « p=reject » qu'après plusieurs mois de rapports irréprochables, une fois que chaque expéditeur aura été vérifié, que tous les problèmes d'alignement auront été résolus et qu'un processus de validation des nouveaux outils aura été mis en place avant qu'ils ne commencent à envoyer des messages.

Remarque concernant la balise « pct= » : vous pouvez rencontrer des enregistrements DMARC utilisant « pct=10 » ou « pct=25 » pour appliquer les règles uniquement à un pourcentage donné de messages. Les recommandations actuelles déconseillent de s'appuyer sur cette méthode, car les fournisseurs de messagerie ne la mettent pas en œuvre de manière cohérente. Une mise en œuvre progressive, passant par les valeurs « p=none », « p=quarantine » puis « p=reject », s'avère plus fiable.

Balises de rapport DMARC : le rôle réel des balises « rua » et « ruf »

Les rapports DMARC vous permettent de suivre ce qui se passe une fois que votre enregistrement est actif. Si la génération de rapports n'est pas activée, vous pouvez certes appliquer des règles, mais vous ne saurez pas quels systèmes sont conformes, lesquels échouent ou lesquels tentent d'envoyer des e-mails en utilisant votre domaine.

rua= (Rapports agrégés)

Les rapports agrégés sont des résumés quotidiens au format XML envoyés par les fournisseurs de messagerie participants. Ils vous indiquent qui envoie des e-mails en utilisant votre domaine, quelles adresses IP sont concernées, et si ces e-mails sont conformes ou non aux protocoles SPF, DKIM et DMARC.

C'est celui qu'il vous faut. Pour la plupart des organisations, « rua= » suffit à lui seul.

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

Configurez-le pour qu'il envoie les messages vers une boîte mail dédiée que vous surveillerez régulièrement. Les fournisseurs envoient généralement des rapports une fois par jour. Attendez-vous à recevoir des fichiers XML qui nécessiteront soit un analyse manuelle, soit un outil de génération de rapports pour être lus facilement.

ruf= (Rapports d'expertise / Rapports de défaillance)

Les rapports d'expertise contiennent des informations détaillées sur les échecs d'authentification individuels. Ils sont facultatifs, ne sont pas systématiquement envoyés par tous les fournisseurs et soulèvent des questions relatives à la protection de la vie privée dans certaines régions. Pour la plupart des expéditeurs, l'utilisation de « rua= » seul constitue la configuration appropriée.

Adresses de déclaration externe

Si votre adresse rua= utilise un domaine différent de celui de l'expéditeur, le domaine destinataire doit publier un enregistrement DNS l'autorisant à recevoir des rapports en votre nom. Sans cela, les rapports risquent de ne pas être transmis, et ce sans notification.

Vérifiez toujours que les rapports vous parviennent dans les jours qui suivent la publication de votre enregistrement DMARC. Si ce n'est pas le cas, vérifiez d'abord cette condition d'autorisation.

Pourquoi le protocole DMARC ne suffit pas à lui seul à garantir la bonne réception de vos e-mails dans la boîte de réception

Le protocole DMARC est indispensable. Mais il n'est pas suffisant.

Google, Yahoo et Microsoft utilisent la conformité aux protocoles SPF, DKIM et DMARC pour déterminer si un message est correctement authentifié. Pour les expéditeurs à fort volume, cette couche d’authentification est désormais un minimum indispensable. Sans elle, vos e-mails risquent bien davantage d’être classés comme spam, rejetés ou considérés comme suspects avant même que leur contenu et votre réputation ne soient évalués. Mais cela ne garantit pas pour autant qu’ils parviennent dans la boîte de réception. Cette décision repose en effet sur trois piliers :

• Configuration de l'envoi (authentification) : SPF, DKIM et DMARC - DMARC se trouve ici
• Réputation de l'expéditeur : établie à partir de signaux d'engagement réels observés au fil du temps, tels que l'ouverture de vos e-mails par les destinataires dans Gmail ou Outlook, les réponses, les interactions positives avec la boîte de réception, le faible nombre de plaintes pour spam et un placement constant dans la boîte de réception
• Contenu des e-mails : structure, liens, mots déclencheurs de spam et perception de vos messages par les filtres

L'authentification, c'est la condition sine qua non. C'est ce qui vous permet d'entrer dans la partie. C'est la réputation qui fait passer vos e-mails du dossier « spam » à la boîte de réception.

Dans le cadre spécifique de la prospection à froid B2B, cela revêt une importance capitale. Vous envoyez des messages à des personnes qui n’ont jamais entendu parler de vous. Il n’y a aucune relation préexistante, aucun historique d’interaction, aucune reconnaissance de marque auprès de leur fournisseur de messagerie. Un enregistrement DMARC valide indique aux fournisseurs que votre e-mail provient bien de vous. Cela ne leur dit en rien que votre e-mail mérite d’être lu.

C’est pourquoi chaque domaine de diffusion secondaire nécessite une phase de préparation, et pas seulement une authentification. MailReach améliore votre réputation d’expéditeur grâce à des interactions positives et pertinentes avec un réseau de plus de 30 000 boîtes de réception réelles de Google Workspace et Microsoft 365. C’est cette couche de réputation qui, associée à l’authentification, permet à vos e-mails d’atteindre réellement la boîte de réception. Découvrez comment fonctionne email warmup et pourquoi la qualité du réseau fait toute la différence entre une phase de préparation efficace et les autres solutions.

FAQ

Quel est un exemple d'enregistrement DMARC ?

L'exemple le plus simple est le suivant : v=DMARC1 ; p=none ; rua=mailto:dmarc@yourdomain.com, publié sous forme d'enregistrement TXT sur _dmarc.votredomaine.com. v=DMARC1 définit la version, p=none indique aux destinataires de surveiller sans intervenir, et rua= précise où vos rapports agrégés doivent être envoyés. Il s'agit du minimum requis par Google, Yahoo et Microsoft pour les expéditeurs en masse.

La valeur « p=none » est-elle suffisante ?

Pour démarrer et répondre aux exigences des fournisseurs de messagerie, oui. « p=none » constitue également un bon point de départ, car il vous offre une visibilité sans perturber la circulation des e-mails. Dans les environnements d’envoi complexes impliquant plusieurs plateformes et fournisseurs, un « p=quarantine » bien surveillé est souvent la solution adéquate à long terme. Ne vous précipitez pas sur « p=reject » avant que vos rapports n’aient confirmé que chaque expéditeur est fiable.

Pourquoi le DMARC échoue-t-il alors que le SPF et le DKIM sont tous deux validés ?

Alignement. La conformité aux normes SPF et DKIM ne suffit pas : le domaine authentifié doit également correspondre au domaine figurant dans votre champ « De : » visible. Ce problème survient le plus souvent lorsqu'un outil tiers (CRM, service d'assistance, plateforme de communication) authentifie un e-mail sous son propre domaine plutôt que sous le vôtre. Pour y remédier, il suffit de configurer chaque plateforme afin qu'elle signe et authentifie les e-mails en utilisant spécifiquement votre domaine.

Ai-je besoin d'un enregistrement DMARC distinct pour chaque sous-domaine ?

En général, non. Par défaut, un seul enregistrement sur le domaine de votre organisation régit les sous-domaines. Utilisez la balise « sp= » pour définir explicitement une politique relative aux sous-domaines — par exemple, « sp=reject » pour bloquer les sous-domaines à partir desquels vous n’envoyez jamais d’e-mails. Les domaines secondaires utilisés pour la communication, en revanche, sont totalement distincts et chacun nécessite son propre enregistrement DMARC.

Puis-je envoyer les rapports DMARC à ma propre adresse e-mail plutôt qu'à un outil payant ?

Oui. Il suffit d'indiquer « rua=mailto: » dans n'importe quelle boîte de réception dont vous avez la gestion pour recevoir gratuitement des rapports agrégés. Le seul inconvénient, c'est qu'ils sont envoyés au format XML brut, ce qui reste gérable pour un petit domaine, mais devient difficile à analyser à grande échelle. Pour un domaine d'envoi unique à l'activité limitée, votre propre boîte mail suffit.

Le protocole DMARC va-t-il améliorer la délivrabilité de mes e-mails non sollicités ?

Le protocole DMARC est nécessaire, mais pas suffisant. Sans lui, Google, Yahoo et Microsoft peuvent rejeter ou envoyer vos e-mails dans le dossier « Courrier indésirable » avant même qu'ils ne soient analysés. Cependant, son utilisation ne garantit pas l'arrivée dans la boîte de réception : cela dépend de la réputation de l'expéditeur et du contenu. Le protocole DMARC assure le pilier de l'authentification. L'arrivée dans la boîte de réception dépend de ces trois éléments. Consultez notre guide sur l'amélioration de la délivrabilité des e-mails pour avoir une vue d'ensemble.

Microsoft impose-t-il désormais l'utilisation de DMARC ?

Oui. Depuis le 5 mai 2025, Microsoft exige la mise en place des protocoles SPF et DKIM, ainsi qu’une politique DMARC minimale de type « p=none » pour les expéditeurs en masse (plus de 5 000 e-mails par jour) vers les adresses Outlook.com, Hotmail.com et Live.com. Les messages non conformes sont d’abord redirigés vers le dossier « Courrier indésirable », puis rejetés. Google et Yahoo ont adopté des exigences similaires en février 2024. Les trois principaux fournisseurs de messagerie exigent désormais le protocole DMARC pour les envois en masse.

‍