Exemple d'enregistrement DMARC : Modèles pour chaque politique

Voici l'enregistrement DMARC fonctionnel le plus simple :

Publiez-le en tant qu'enregistrement TXT sur _dmarc.votredomaine.com. C'est tout. Votre domaine dispose désormais d'un enregistrement DMARC valide qui répond aux exigences minimales de Google, Yahoo et Microsoft.

Si vous êtes pressé, cet enregistrement est tout ce dont vous avez besoin pour l'instant. Revenez lire la suite de ce guide quand vous serez prêt à comprendre le rôle de chaque balise, à passer à des politiques plus strictes sans perturber vos e-mails, et à comprendre pourquoi DMARC peut échouer même lorsque SPF et DKIM sont tous deux validés.

Pour tous les autres : voyons en détail ce que signifie réellement un enregistrement DMARC, ce que fait chaque niveau de politique, l'erreur d'alignement qui piège la plupart des expéditeurs, et comment le DMARC s'intègre dans votre stratégie globale de délivrabilité en tant qu'expéditeur B2B.

L'enregistrement DMARC le plus simple (et le rôle de chaque partie)

Un enregistrement DMARC est un simple enregistrement DNS TXT publié sur un sous-domaine spécifique de votre domaine :

L'enregistrement utile le plus simple ressemble à ceci :

Trois parties. C'est tout ce dont vous avez besoin pour commencer.

v=DMARC1

Cela définit la version. Chaque enregistrement DMARC doit commencer par ceci. Il doit apparaître en premier, exactement tel quel. Rien avant.

p=none

Il s'agit de la politique (policy). Elle indique aux serveurs de messagerie récepteurs quoi faire des messages qui échouent au test DMARC. Avec p=none, la réponse est : rien. Les e-mails circulent normalement. Vous collectez des données. Aucun e-mail n'est bloqué ou filtré à cause de cet enregistrement.

C'est exactement pour cela que c'est le point de départ idéal. Vous activez la surveillance sans toucher à la distribution.

rua=mailto:dmarc@yourdomain.com

Cela indique aux fournisseurs de messagerie où envoyer vos rapports DMARC globaux (des résumés XML quotidiens montrant quels systèmes envoient des e-mails en utilisant votre domaine et s'ils réussissent l'authentification). Remplacez l'adresse par une que vous consultez réellement.

Sans rua=, vous n'avez aucune visibilité. L'enregistrement fonctionne, mais vous naviguez à l'aveugle.

Exemples d'enregistrements DMARC par politique

Chaque enregistrement DMARC contient une balise de politique (p=) qui indique aux serveurs récepteurs quoi faire lorsqu'un e-mail échoue à l'authentification. Il y a trois options. Voici à quoi ressemble chacune d'elles et quand l'utiliser. Pour aller plus loin sur la façon dont SPF, DKIM et DMARC fonctionnent ensemble, consultez notre guide sur comment implémenter SPF, DKIM et DMARC.

p=none - Mode surveillance

Aucune action n'est entreprise sur les messages en échec. Les e-mails continuent de circuler normalement. Vous recevez des rapports quotidiens montrant chaque système qui envoie des e-mails avec votre domaine, s'ils réussissent l'authentification et d'où proviennent les échecs.

Utilisez p=none lorsque :

• Vous configurez DMARC pour la première fois
• Vous n'avez pas encore identifié tous les services qui envoient des e-mails en votre nom
• Vous souhaitez de la visibilité avant de toucher au moindre flux d'e-mails

C'est également le minimum requis par Google et Yahoo pour les gros expéditeurs (5 000+ e-mails/jour), et par Microsoft depuis mai 2025 pour les e-mails envoyés aux adresses Outlook, Hotmail et Live.

p=quarantine - Application prudente

Les messages en échec sont traités comme suspects. La plupart des serveurs de réception les envoient dans le dossier spam ou indésirables au lieu de les bloquer complètement.

Utilisez p=quarantine lorsque :

• SPF et DKIM sont correctement configurés sur toutes vos plateformes d'envoi
• Les rapports DMARC montrent que les expéditeurs légitimes passent l'authentification de manière cohérente
• Vous souhaitez une protection contre l'usurpation d'identité sans risquer un rejet direct

p=reject - Application stricte

Les messages en échec sont rejetés avant d'arriver chez le destinataire. C'est la protection la plus puissante contre l'usurpation d'identité.

N'utilisez p=reject que lorsque :

• Vous avez surveillé les rapports DMARC pendant des semaines ou des mois
• Chaque source d'envoi légitime est identifiée et authentifiée
• L'alignement SPF, DKIM et DMARC passe systématiquement pour tous vos expéditeurs
• Vous avez mis en place un suivi pour analyser les nouveaux outils avant qu'ils n'envoient des e-mails

Pourquoi DMARC échoue même lorsque SPF et DKIM sont tous les deux validés

C'est le problème DMARC le plus courant que nous rencontrons, et c'est celui que nos concurrents relèguent en annexe ou omettent carrément. Abordons-le donc sans détour.

Le fait que les tests SPF et DKIM soient réussis ne suffit pas. Pour que le test DMARC soit réussi, au moins l'un de ces résultats doit également correspondre au domaine que vos destinataires voient dans le champ « De : ».

Voici ce que signifie concrètement l'alignement :

• Alignement SPF : le domaine figurant dans le champ « Return-Path » de l'e-mail (l'expéditeur de l'enveloppe) doit correspondre au domaine figurant dans l'adresse « De : » visible
• Alignement DKIM : le domaine indiqué dans la signature DKIM (balise « d= ») doit correspondre au domaine figurant dans l'adresse « De : » visible

Le déclencheur le plus courant : vous connectez un CRM, un service d'assistance, un outil de prospection à froid ou une plateforme marketing. Cette plateforme envoie des e-mails en utilisant votre domaine dans le champ « De : », mais s'authentifie en arrière-plan sous son propre domaine. Les validations SPF et DKIM sont réussies pour le domaine de la plateforme. Mais elles ne correspondent pas à votre domaine dans le champ « De : ». Le DMARC échoue.

Nous constatons cela régulièrement lorsque des équipes ajoutent de nouveaux outils sans mettre à jour leur configuration DNS. Pour y remédier, il faut configurer chaque plateforme d'envoi de manière à ce qu'elle s'authentifie spécifiquement sous votre domaine, et non sous sa propre infrastructure partagée.

Un enregistrement DKIM par fournisseur de services de messagerie (ESP), et non par outil. Si un ESP envoie des e-mails pour plusieurs outils de votre infrastructure, vous devez disposer d'un enregistrement DKIM pour cet ESP, configuré pour signer avec votre domaine.

Comment diagnostiquer un problème d'alignement :

• Ouvrir un e-mail reçu et afficher les en-têtes du message d'origine
• Consultez l'en-tête « Authentication-Results » : il affiche les résultats SPF, DKIM et DMARC, ainsi que l'état de conformité.
• Vérifiez si le domaine authentifié correspond à votre domaine « De : »
• Consultez vos rapports agrégés DMARC pour identifier les schémas de non-conformité
• Réalisez un véritable test de placement dans la boîte de réception grâce au test anti-spam gratuit de MailReach afin de consulter les résultats d'authentification dans des conditions réelles de réception.

Si vous constatez des échecs DMARC qui vous semblent inexplicables, notre guide sur la résolution des échecs DMARC vous explique en détail les causes spécifiques et les solutions à adopter.

Exemples d'enregistrements DMARC pour des cas particuliers

La plupart des domaines peuvent s'appuyer sur l'exemple de base « p=none » présenté ci-dessus. Cependant, certaines situations nécessitent une approche différente.

Domaines parqués et domaines non émetteurs

Si un domaine n'envoie jamais d'e-mails (domaines « parqués », enregistrements défensifs, domaines destinés à la protection des marques), l'enregistrement DMARC approprié est un rejet catégorique, qui ne nécessite pas d'adresse de rapport :

Cela indique à tous les fournisseurs de messagerie de rejeter tout e-mail prétendant provenir de ce domaine. Étant donné qu'aucun e-mail légitime ne devrait jamais en provenir, il n'y a aucun risque de perturber le fonctionnement du service de messagerie.

Domaines de prospection secondaires pour les e-mails de prospection à froid B2B

C'est le cas d'utilisation que la plupart des guides sur le DMARC omettent complètement.

Si vous menez des campagnes de prospection à froid B2B, vous devriez utiliser des domaines secondaires, et non des sous-domaines de votre domaine principal. Les sous-domaines partagent la réputation du domaine parent. Un problème de délivrabilité sur un sous-domaine affecte également votre domaine principal. Les domaines secondaires (votresociété.co, votresociété.io) sont totalement distincts et se forgent leur propre réputation de manière indépendante.

Privilégiez les extensions courantes : .com, .co, .io. Évitez les TLD peu courants. Ils suscitent la méfiance avant même que votre e-mail n'arrive à destination.

Chaque domaine secondaire a besoin de sa propre configuration d'authentification complète :

• Un enregistrement SPF dédié listant ses expéditeurs autorisés
• Des clés DKIM configurées par ESP pour ce domaine
• Son propre enregistrement DMARC
• Son propre processus de warmup pour créer une réputation d'expéditeur à partir de zéro

Pour la prospection B2B à froid, DMARC n'est que la couche d'authentification. C'est la couche de réputation qui fait vraiment passer les emails du spam à la boîte de réception. Découvrez comment l'email warmup crée la réputation d'expéditeur dont vos domaines secondaires ont besoin.

Protéger les sous-domaines avec la balise sp=

Par défaut, les sous-domaines héritent de la politique DMARC du domaine parent. Si vous souhaitez un contrôle précis, utilisez la balise sp= :

p= s'applique à votre domaine organisationnel. sp= s'applique à tous les sous-domaines. Si vous avez des sous-domaines inutilisés qui ne doivent jamais envoyer d'emails, les verrouiller avec sp=reject évite qu'ils ne soient exploités pour du spoofing.

Comment passer de p=none à l'application stricte sans perturber vos e-mails

L'enregistrement DMARC se publie en quelques minutes. Le déploiement, lui, prend des semaines. Les équipes qui rencontrent des problèmes sont presque toujours celles qui zappent la phase de monitoring et découvrent des expéditeurs manquants seulement une fois que les e-mails légitimes commencent à être rejetés.

Voici la méthode qui fonctionne :

Étape 1 : Publiez p=none et commencez à récupérer les rapports

Laissez-les en place pendant au moins deux à quatre semaines. Vérifiez que les rapports arrivent. Analysez-les.

Étape 2 : Identifiez tous les systèmes qui envoient des e-mails avec votre domaine

C'est là que la plupart des entreprises ont des surprises. En plus de votre fournisseur de messagerie principal, vérifiez :

• Les plateformes CRM et les outils d'engagement commercial
• Les plateformes d'automatisation marketing et de newsletters
• Les helpdesks et systèmes de gestion de tickets
• Les logiciels de facturation
• Les applications internes et les notifications automatisées
• Les outils de cold emailing

Les rapports DMARC sont souvent le meilleur moyen pour les équipes de découvrir des systèmes d'envoi dont elles avaient oublié l'existence.

Étape 3 : Corrigez l'authentification et l'alignement pour chaque expéditeur

Pour chaque plateforme d'envoi trouvée :

• Confirmez que le SPF est configuré et que l'IP d'envoi est autorisée
• Publiez les enregistrements DKIM et activez la signature spécifiquement pour votre domaine
• Vérifiez que le domaine authentifié s'aligne bien avec votre adresse De (From:)
• Vérifiez les résultats dans vos rapports DMARC avant de passer à la suite

Étape 4 : Passez à p=quarantine

Ne faites ce changement que lorsque vos rapports montrent une authentification propre pour tous vos expéditeurs. Continuez à surveiller. Gardez un œil sur les e-mails légitimes qui finissent dans les spams.

Étape 5 : Passez à p=reject (quand les données le permettent)

Passez à p=reject uniquement après des mois de rapports propres, avec chaque expéditeur vérifié, chaque problème d'alignement réglé, et un processus en place pour valider les nouveaux outils avant qu'ils ne commencent à envoyer.

Une remarque sur la balise pct= : vous verrez peut-être des enregistrements DMARC qui utilisent pct=10 ou pct=25 pour appliquer la politique à un simple pourcentage de messages. Les recommandations actuelles déconseillent de l'utiliser, car les fournisseurs de messagerie ne l'appliquent pas de manière cohérente. Un déploiement progressif de p=none vers p=quarantine puis p=reject est beaucoup plus fiable.

Tags de rapport DMARC : à quoi servent vraiment rua et ruf

Les rapports DMARC vous permettent de voir ce qui se passe une fois votre enregistrement en ligne. Sans les rapports activés, vous pouvez appliquer des politiques, mais vous ne saurez pas quels systèmes réussissent, échouent ou tentent d'envoyer des e-mails en utilisant votre domaine.

rua= (Rapports agrégés)

Les rapports agrégés sont des résumés XML quotidiens envoyés par les fournisseurs de messagerie participants. Ils vous montrent qui envoie des e-mails avec votre domaine, quelles IP sont impliquées et si elles réussissent ou échouent aux tests SPF, DKIM et DMARC.

C'est celui dont vous avez besoin. Pour la plupart des organisations, rua= suffit amplement.

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

Pointez-le vers une boîte mail dédiée que vous allez vraiment surveiller. Les fournisseurs envoient généralement les rapports une fois par jour. Attendez-vous à des fichiers XML qui nécessitent soit une analyse manuelle, soit un outil de reporting pour les lire facilement.

ruf= (Rapports d'analyse / d'échec)

Les rapports d'analyse contiennent des détails sur les échecs d'authentification individuels. Ils sont facultatifs, ne sont pas envoyés systématiquement par tous les fournisseurs et soulèvent des questions de confidentialité dans certaines régions. Pour la plupart des expéditeurs, rua= est la configuration idéale.

Adresses de reporting externes

Si votre adresse rua= utilise un domaine différent de votre domaine d'envoi, le domaine de réception doit publier un enregistrement DNS s'autorisant à recevoir des rapports en votre nom. Sans cela, les rapports risquent de ne pas être livrés, et ce, en silence.

Vérifiez toujours que les rapports arrivent dans les quelques jours suivant la publication de votre enregistrement DMARC. Si ce n'est pas le cas, vérifiez d'abord cette condition d'autorisation.

Pourquoi le DMARC seul ne suffira pas à placer vos emails en boîte de réception

Le DMARC est nécessaire. Ce n'est pas suffisant.

Google, Yahoo et Microsoft utilisent l'alignement SPF, DKIM et DMARC pour décider si un message est correctement authentifié. Pour les gros volumes d'envoi, cette couche d'authentification est devenue indispensable. Sans elle, vos e-mails ont beaucoup plus de chances d'être classés comme indésirables, rejetés ou considérés comme suspects avant même que le contenu et la réputation ne soient évalués. Mais cela ne garantit pas l'accès à la boîte de réception. Cette décision repose sur trois piliers :

• Configuration d'envoi (authentification) : SPF, DKIM et DMARC - Le DMARC se trouve ici
• Réputation de l'expéditeur : construite au fil du temps à partir de signaux d'engagement réels, tels que l'ouverture de vos e-mails dans Gmail ou Outlook, les réponses, les interactions positives avec la boîte mail, un faible taux de plaintes pour spam et un placement constant en boîte de réception
• Contenu de l'e-mail : structure, liens, mots déclencheurs de spam et apparence de vos messages pour les filtres

L'authentification est la base. C'est ce qui vous permet de participer. La réputation est ce qui fait passer vos e-mails du spam à la boîte de réception.

Pour la prospection à froid B2B en particulier, c'est super important. Vous envoyez des messages à des personnes qui ne vous connaissent pas. Il n'y a pas de relation préalable, pas d'historique d'engagement, pas de notoriété de marque auprès de leur fournisseur de messagerie. Un enregistrement DMARC propre indique aux fournisseurs que votre e-mail provient légitimement de vous. Cela ne prouve en rien que votre e-mail vaut la peine d'être lu.

C'est pourquoi chaque domaine de prospection secondaire a besoin d'un email warmup, et pas seulement d'une authentification. MailReach améliore la réputation de votre expéditeur grâce à de vraies interactions positives avec un réseau de plus de 30 000 boîtes mail Google Workspace et Microsoft 365. C'est la couche de réputation qui fonctionne aux côtés de l'authentification pour faire arriver vos e-mails dans la boîte de réception. Découvrez comment fonctionne l'email warmup et pourquoi la qualité du réseau fait toute la différence par rapport aux autres outils.

FAQ

Quel est un exemple d'enregistrement DMARC ?

L'exemple le plus simple est v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.com, publié en tant qu'enregistrement TXT sur _dmarc.votredomaine.com. v=DMARC1 définit la version, p=none indique aux serveurs de réception de surveiller sans agir, et rua= indique où vont vos rapports agrégés. C'est le minimum requis par Google, Yahoo et Microsoft pour les expéditeurs en masse.

Est-ce que p=none suffit ?

Pour commencer et répondre aux exigences des fournisseurs de boîtes de réception, oui. p=none est également le bon point de départ car il vous donne de la visibilité sans perturber vos envois. Pour les environnements d'envoi complexes avec de multiples plateformes et prestataires, un p=quarantine bien surveillé est souvent la bonne destination à long terme. Ne vous précipitez pas vers p=reject avant que vos rapports ne confirment que chaque expéditeur est clean.

Pourquoi DMARC échoue-t-il alors que SPF et DKIM passent tous les deux ?

L'alignement. Le fait que SPF et DKIM passent ne suffit pas : le domaine authentifié doit aussi correspondre au domaine de votre adresse De: visible. Cela coince le plus souvent lorsqu'un outil tiers (CRM, helpdesk, plateforme d'outreach) authentifie l'email sous son propre domaine au lieu du vôtre. La solution consiste à configurer chaque plateforme pour signer et s'authentifier spécifiquement avec votre domaine.

Ai-je besoin d'un enregistrement DMARC séparé pour chaque sous-domaine ?

Généralement non. Un seul enregistrement sur votre domaine organisationnel gère les sous-domaines par défaut. Utilisez la balise sp= pour définir une politique de sous-domaine explicite – par exemple, sp=reject pour verrouiller les sous-domaines depuis lesquels vous n'envoyez jamais rien. Les domaines d'outreach secondaires, en revanche, sont complètement séparés et ont chacun besoin de leur propre enregistrement DMARC.

Puis-je envoyer des rapports DMARC à ma propre adresse email au lieu d'utiliser un outil payant ?

Oui. Pointez rua=mailto: vers n'importe quelle boîte mail que vous contrôlez et vous recevrez des rapports agrégés gratuitement. Le hic, c'est qu'ils arrivent sous forme de XML brut, ce qui est gérable pour un petit domaine mais devient difficile à analyser à grande échelle. Pour un seul domaine d'envoi avec une activité limitée, votre propre boîte mail fait l'affaire.

Est-ce que DMARC va améliorer la délivrabilité de mes cold emails ?

DMARC est nécessaire mais pas suffisant. Sans lui, Google, Yahoo et Microsoft peuvent rejeter ou placer votre email en spam avant même qu'il ne soit évalué. Mais l'avoir ne garantit pas l'arrivée en boîte de réception, cela dépend de la réputation de l'expéditeur et du contenu. DMARC règle le pilier de l'authentification. Le placement en boîte de réception dépend des trois. Consultez notre guide sur l'amélioration de la délivrabilité des emails pour avoir une vue d'ensemble.

Est-ce que Microsoft exige désormais DMARC ?

Oui. Depuis le 5 mai 2025, Microsoft exige SPF, DKIM et une politique DMARC minimale de p=none pour les expéditeurs en masse (5 000+ emails/jour) vers les adresses Outlook.com, Hotmail.com et Live.com. Les messages non conformes sont d'abord envoyés dans les spams, suivis d'un rejet. Google et Yahoo ont adopté des exigences similaires en février 2024. Les trois principaux fournisseurs exigent désormais DMARC pour les envois en masse.

‍