DMARC : Guide Complet pour Sécuriser votre Messagerie

2 juin 2026

Tout savoir sur l’authentification DMARC, SPF, DKIM et la protection de votre domaine

L’usurpation d’identité par email explose : phishing, spoofing et campagnes frauduleuses ciblent chaque jour des domaines légitimes. Pour les entreprises, le risque n’est pas seulement financier : c’est la délivrabilité, la réputation d’expéditeur et la confiance client qui s’effondrent en cas d’attaque. C’est précisément le rôle du DMARC, un protocole d’authentification qui complète SPF et DKIM pour protéger votre domaine et garantir que seuls les expéditeurs légitimes envoient des messages en votre nom. Ce guide complet vous explique en détail comment fonctionne DMARC, comment le configurer pas à pas, comment lire ses rapports et comment en mesurer le ROI sur votre stratégie emailing.

Qu’est-ce que le protocole DMARC et pourquoi est-il si important ? Cet article contient tout ce que vous devez savoir sur cette authentification des emails et les étapes à suivre pour la mettre en œuvre.

Servez-vous un verre d’eau, installez-vous confortablement et prenez une longue respiration, car derrière ce nom se cache un acronyme particulièrement long.

Le protocole DMARC, pour « Domain-based Message Authentication, Reporting, and Conformance » est une méthode d’authentification conçue pour bloquer les tentatives d’usurpation d’identité.

DMARC est aujourd’hui le protocole d’authentification email le plus complet pour protéger un domaine contre les abus. Là où SPF et DKIM vérifient individuellement l’expéditeur et l’intégrité d’un message, DMARC va plus loin : il dicte la politique à appliquer lorsqu’un message échoue aux vérifications et génère des rapports envoyés au propriétaire du domaine.

Concrètement, DMARC permet de répondre à trois questions essentielles que se pose tout serveur de réception : ce message provient-il bien d’une source autorisée ? Que faire si l’authentification échoue ? Comment informer le propriétaire de domaine des messages envoyés en son nom ?, utilisez cet outil pour effectuer une vérification rapide du protocole DMARC.

DMARC signifie Domain-based Message Authentication, Reporting and Conformance. C’est un protocole standardisé, publié dans la RFC 7489, conçu pour protéger les noms de domaine contre l’usurpation d’identité par email.

DMARC ne remplace pas SPF (Sender Policy Framework) ni DKIM (DomainKeys Identified Mail). Il s’appuie sur eux et y ajoute deux briques critiques :

• L’alignement entre le domaine visible dans l’adresse From et celui validé par SPF ou DKIM.
• Une politique d’action (none, quarantine, reject) à appliquer aux messages qui échouent à l’authentification.
• Des rapports DMARC transmis automatiquement à l’expéditeur, sous forme de fichiers XML envoyés à une adresse mailto: définie dans l’enregistrement.

L’enregistrement DMARC se publie sous forme d’un enregistrement TXT dans le DNS du domaine. C’est ce simple champ qui pilote l’ensemble du dispositif.

L’email reste le canal préféré des consommateurs pour communiquer avec les marques, mais aussi la première porte d’entrée des cyberattaques. Selon le rapport Mailjet sur la délivrabilité 2025, 78,5 % des expéditeurs attribuent une note de 8/10 ou plus à l’importance de la délivrabilité dans leur stratégie. Et la délivrabilité repose désormais directement sur l’authentification.

Plusieurs facteurs rendent DMARC indispensable :

• Lutte contre le phishing et l’usurpation : sans DMARC, n’importe qui peut écrire un message en se faisant passer pour votre domaine. Un attaquant peut envoyer une fausse facture, une fausse alerte ou un faux email RH.
• Protection de la marque : un domaine usurpé, c’est une réputation qui se dégrade auprès des serveurs de messagerie comme Gmail, Yahoo ou Microsoft 365.
• Exigences des grands fournisseurs : depuis 2024, Gmail et Yahoo imposent DMARC aux expéditeurs qui envoient plus de 5 000 messages par jour. Sans politique DMARC publiée, les messages sont rejetés ou placés en spam.
• Visibilité sur les flux d’envoi : les rapports DMARC offrent une vue agrégée de tous les serveurs qui envoient des emails en votre nom, légitimes ou non.
• Amélioration de la délivrabilité : un domaine correctement authentifié est traité avec plus de confiance par les serveurs de réception, ce qui améliore le placement en boîte de réception.

DMARC n’est plus une option pour les entreprises sérieuses : c’est un prérequis pour envoyer des emails marketing et transactionnels à grande échelle. Pour aller plus loin sur la chaîne complète d’authentification, consultez le guide Mailjet dédié aux protocoles SPF, DKIM et DMARC.

SPF, DKIM et DMARC sont souvent confondus. Pourtant chacun joue un rôle bien distinct dans l’authentification d’un email.

Critère	SPF	DKIM	DMARC
Nom complet	Sender Policy Framework	DomainKeys Identified Mail	Domain-based Message Authentication, Reporting and Conformance
Ce qu’il vérifie	L’adresse IP autorisée à envoyer pour un domaine	L’intégrité du message via une signature cryptographique	L’alignement SPF/DKIM avec le domaine From
Type d’enregistrement	TXT dans le DNS	TXT dans le DNS (sélecteur)	TXT dans le DNS (_dmarc.exemple.com)
Décision sur le message	Aucune (résultat informatif)	Aucune (résultat informatif)	Oui (none, quarantine, reject)
Reporting	Non	Non	Oui (rapports agrégés RUA + forensique RUF)
Protection contre le spoofing	Partielle	Partielle	Complète (politique reject)

À retenir : SPF et DKIM sont les fondations. DMARC est le chef d’orchestre qui les coordonne, prend la décision finale et alerte le propriétaire de domaine.

Comprendre le fonctionnement de DMARC suppose de regarder ce qui se passe à chaque envoi d’un email, du serveur d’envoi jusqu’au serveur de réception. DMARC s’appuie sur une mécanique simple en apparence mais rigoureuse : trois piliers, un flux de traitement standardisé, un système d’alignement précis.

DMARC repose sur trois piliers fondamentaux :

• L’authentification : le message doit passer la vérification SPF, la vérification DKIM, ou les deux.
• L’alignement : le domaine validé par SPF ou DKIM doit correspondre au domaine visible dans l’adresse From (l’expéditeur affiché à l’utilisateur).
• La politique et le reporting : DMARC indique au serveur de réception quoi faire en cas d’échec, et au propriétaire du domaine ce qui s’est passé.

Aucune de ces trois briques ne suffit seule. Un message peut passer SPF mais échouer à l’alignement DMARC, par exemple lorsque le domaine technique d’envoi diffère du domaine visible. C’est précisément la valeur ajoutée de DMARC : vérifier la cohérence, pas seulement la validité technique.

Voici les étapes typiques par lesquelles passe un message lorsqu’il arrive sur un serveur de messagerie compatible DMARC :

• Le serveur d’envoi expédie le message vers le serveur de réception du destinataire.

• Le serveur de réception identifie le domaine de l’expéditeur dans le champ From.

• Il interroge le DNS du domaine pour récupérer l’enregistrement SPF, la signature DKIM associée, puis l’enregistrement TXT DMARC publié sous _dmarc.exemple.com.

• Il vérifie SPF (l’IP est-elle autorisée ?) et DKIM (la signature est-elle valide ?).

• Il contrôle l’alignement entre le domaine validé et le domaine visible dans From.

• Si au moins une vérification réussit et est alignée, DMARC est validé. Sinon, le serveur applique la politique demandée dans l’enregistrement DMARC : none, quarantine ou reject.

• Le serveur de réception remonte ensuite un rapport agrégé au propriétaire du domaine, à l’adresse rua déclarée.

L’alignement DMARC dispose de deux modes, gérés par les balises adkim (alignement DKIM) et aspf (alignement SPF).

• Mode strict (s) : le domaine From doit être exactement identique à celui validé. Aucun sous-domaine n’est toléré.
• Mode relax (r) : un sous-domaine est accepté tant que le domaine organisationnel est le même. Par exemple, news.exemple.com est considéré aligné avec exemple.com. Ce mode est utilisé par défaut.

Pour la plupart des organisations qui pilotent plusieurs flux (marketing, transactionnel, internes), le mode relax est recommandé en démarrage. Il offre la souplesse nécessaire sans casser des envois légitimes. Le mode strict s’envisage une fois le déploiement DMARC stabilisé et tous les sous-domaines correctement identifiés.

Un enregistrement DMARC, c’est avant tout une chaîne de texte structurée publiée dans le DNS du domaine. Sa rédaction est précise et chaque balise a un rôle spécifique.

Un enregistrement DMARC est un enregistrement TXT publié sur le sous-domaine _dmarc du domaine principal. Si votre domaine est exemple.com, l’enregistrement DMARC se trouve à _dmarc.exemple.com.

La syntaxe générale ressemble à :

v=DMARC1; p=none; rua=mailto:dmarc-reports@exemple.com; ruf=mailto:forensic@exemple.com; adkim=r; aspf=r; pct=100;

Chaque champ est composé d’une balise, d’un signe =, d’une valeur, et est séparé par un point-virgule. L’ordre des balises n’a pas d’importance, mais la balise v doit toujours apparaître en premier.

Les balises DMARC pilotent l’intégralité du protocole. Voici les principales à connaître :

Balise	Rôle	Valeurs possibles
v	Version du protocole	DMARC1 (obligatoire, en premier)
p	Politique appliquée au domaine principal	none, quarantine, reject
sp	Politique appliquée aux sous-domaines	none, quarantine, reject
rua	Adresse mailto: pour les rapports agrégés	mailto:exemple@exemple.com
ruf	Adresse mailto: pour les rapports forensique	mailto:exemple@exemple.com
adkim	Mode d’alignement DKIM	r (relax) ou s (strict)
aspf	Mode d’alignement SPF	r (relax) ou s (strict)
pct	Pourcentage de messages soumis à la politique	0 à 100 (par défaut 100)
fo	Conditions de déclenchement du rapport forensique	0, 1, d, s
ri	Intervalle entre rapports agrégés (en secondes)	Par défaut 86400 (24 h)

Les balises critiques sont p, rua et pct : la politique pilote l’action, l’adresse rua collecte les rapports, le pourcentage permet un déploiement progressif.

Voici trois exemples concrets d’enregistrements DMARC, du plus permissif au plus strict.

Exemple 1 : Politique de surveillance (none) avec reporting :

v=DMARC1; p=none; rua=mailto:dmarc-rua@exemple.com;

Cet enregistrement n’applique aucune action sur les messages, mais collecte les rapports agrégés. C’est le point de départ recommandé pour toute mise en œuvre DMARC.

Exemple 2 : Politique de quarantaine (quarantine) progressive :

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-rua@exemple.com; ruf=mailto:dmarc-ruf@exemple.com; adkim=r; aspf=r;

25 % des messages qui échouent sont placés en quarantaine (spam). Les rapports agrégés et forensique sont activés.

Exemple 3 : Politique stricte (reject) :

v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc-rua@exemple.com; adkim=s; aspf=s; pct=100;

100 % des messages non authentifiés sont rejetés. L’alignement est strict pour SPF et DKIM, et la politique s’applique aussi aux sous-domaines. C’est le niveau de protection le plus élevé.

Une fois l’enregistrement DMARC publié, il reste à comprendre comment le déployer correctement, étape par étape, et comment exploiter les rapports qu’il génère.

Mettre en œuvre DMARC ne se résume pas à publier un enregistrement TXT. C’est un déploiement progressif qui demande méthode, observation et ajustement. Voici les 5 étapes recommandées pour un déploiement maîtrisé.

Les rapports DMARC sont la véritable valeur opérationnelle du protocole. Ils transforment DMARC d’un simple filtre en un outil de pilotage de la délivrabilité et de la sécurité.

Les rapports agrégés, désignés par la balise rua, sont des fichiers XML envoyés quotidiennement par les serveurs de réception (Google, Yahoo, Microsoft 365, etc.) au propriétaire du domaine.

Ils contiennent :

• Le domaine concerné et la politique appliquée.
• Les adresses IP des serveurs émetteurs identifiés.
• Le volume de messages par source.
• Le résultat des contrôles SPF, DKIM et de l’alignement DMARC.
• Le verdict final (pass, fail, action appliquée).

Lire un rapport DMARC brut n’est pas confortable : le format XML est verbeux. Des outils d’analyse permettent de visualiser ces données sous forme de tableaux de bord lisibles, ce qui simplifie grandement l’interprétation au quotidien.

Les rapports forensiques, désignés par la balise ruf, sont envoyés en temps quasi réel à chaque message qui échoue aux vérifications DMARC. Contrairement aux rapports agrégés, ils décrivent un message précis :

• En-têtes complets du message.
• Source d’envoi.
• Cause de l’échec (SPF, DKIM, alignement).
• Parfois le contenu (selon la configuration).

Les RUF sont précieux pour détecter une tentative d’usurpation active ou un problème de configuration sur un flux légitime. À noter : tous les serveurs de messagerie ne génèrent pas de rapports RUF, et certaines réglementations (RGPD notamment) imposent une vigilance particulière sur les données personnelles que peuvent contenir ces rapports.

Quelques indicateurs sont à surveiller en priorité dans les rapports DMARC :

• Taux de SPF pass : pourcentage de messages dont l’enregistrement SPF est validé.
• Taux de DKIM pass : pourcentage de messages dont la signature DKIM est valide.
• Taux d’alignement DMARC : pourcentage de messages où le domaine SPF ou DKIM correspond au domaine From.
• Taux d’échec global : volume de messages qui échouent à DMARC, ventilé par source.
• Volume par IP source : permet d’identifier rapidement un flux suspect ou un nouvel outil non déclaré.

L’objectif : atteindre un alignement DMARC supérieur à 95 % sur les flux légitimes avant de durcir la politique.

Pour transformer les XML bruts en données exploitables, plusieurs outils sont disponibles :

• Solutions gratuites : DMARC Analyzer (version test), Postmark DMARC, MXToolbox DMARC Report Analyzer.
• Solutions payantes : Dmarcian, EasyDMARC, Valimail, Sinch Mailgun, Mailjet (via l’offre Expert Délivrabilité).
• Solutions intégrées chez les hébergeurs : Microsoft 365 fournit un module DMARC Reports natif.

Le bon outil dépend du volume d’envoi, du nombre de domaines et du niveau d’accompagnement souhaité. Une plateforme emailing professionnelle comme Mailjet centralise authentification, supervision et reporting DMARC dans une même interface, ce qui réduit le risque d’erreur.

Le bénéfice le plus visible de DMARC est la fermeture de la porte aux attaques par usurpation d’identité. Sans DMARC, un attaquant peut envoyer un email frauduleux qui semble provenir de votre domaine, sans que rien ne l’en empêche.

Avec une politique reject, les serveurs de messagerie bloquent automatiquement les messages non authentifiés envoyés en votre nom. Les conséquences :

• Réduction drastique des tentatives de phishing exploitant votre marque.
• Diminution du risque de fraude au président, fausses factures, faux RH.
• Protection des clients et collaborateurs qui reçoivent vos communications.

C’est un bénéfice direct pour la cybersécurité de l’entreprise et de son écosystème.

L’authentification est devenue un critère de classement majeur chez les fournisseurs de messagerie. Gmail et Yahoo réservent désormais la boîte de réception aux expéditeurs qui prouvent leur identité, et DMARC en est l’un des piliers.

Concrètement, un domaine authentifié DMARC :

• Améliore son taux de placement en boîte de réception.
• Voit ses taux d’ouverture et de clic augmenter, par effet mécanique.
• Réduit ses bounces et erreurs de remise.
• Renforce sa réputation d’expéditeur dans le temps.

Selon le rapport Mailjet sur l’avenir de l’emailing 2024, 75,4 % des consommateurs préfèrent recevoir les messages promotionnels par email et 74 % choisissent l’email pour les messages transactionnels. Encore faut-il arriver en boîte de réception, ce que conditionne aujourd’hui l’authentification. Pour creuser le sujet, consultez la définition complète de la délivrabilité sur le blog Mailjet.

DMARC s’inscrit dans un cadre normatif qui se durcit. Plusieurs exigences font de DMARC un prérequis de conformité :

• Exigences Gmail et Yahoo (2024) : DMARC obligatoire pour les expéditeurs envoyant plus de 5 000 messages par jour.
• Réglementations sectorielles : finance, santé, secteur public imposent des standards d’authentification.
• Bonnes pratiques M3AAWG : DMARC est cité parmi les recommandations majeures pour les expéditeurs professionnels.
• Anticipation BIMI : la mise en place de DMARC (avec politique quarantine ou reject) est une condition d’accès à BIMI (Brand Indicators for Message Identification), qui affiche votre logo dans la boîte de réception.

En clair : déployer DMARC, c’est se mettre en conformité avec les standards actuels et anticiper les exigences à venir.

L’investissement DMARC se mesure en quelques mois, à travers plusieurs indicateurs :

• Réputation du domaine : score de réputation chez Gmail Postmaster, Microsoft SNDS, Sender Score.
• Taux de placement : pourcentage de messages en boîte de réception vs spam.
• Volume bloqué frauduleux : nombre de messages d’usurpation rejetés grâce à DMARC.
• Taux d’engagement : taux d’ouverture et de clic sur les flux marketing.
• Réduction des incidents : moins de plaintes clients liés à des emails frauduleux usurpant la marque.

Les entreprises qui déploient DMARC observent souvent une amélioration de 5 à 15 points sur leur taux de placement en boîte de réception, selon la qualité de leurs flux d’origine. Cet impact se traduit directement en revenu pour les flux marketing et transactionnels.

Comprendre les avantages ne suffit pas. Il faut encore savoir éviter les pièges classiques d’un déploiement DMARC, ce que nous abordons maintenant.

Même bien préparé, un déploiement DMARC peut provoquer des effets de bord s’il n’est pas surveillé. Quelques pièges reviennent systématiquement chez les organisations qui passent à quarantine ou reject trop rapidement. Les connaître permet de les anticiper.

Déployer DMARC seul est possible, mais demande du temps, des compétences techniques et une supervision continue. Une plateforme emailing professionnelle comme Mailjet centralise l’authentification, le reporting et l’accompagnement délivrabilité, ce qui transforme DMARC d’un projet technique en un dispositif piloté.

La plateforme tout-en-un Mailjetcentralise emails marketing et transactionnels, automatise la configuration de SPF et DKIM, et donne accès à des experts en délivrabilité capables de piloter votre passage en politique quarantine ou reject sans perte de délivrabilité. 

Découvrez les offres délivrabilité Mailjet et faites auditer votre configuration DMARC par les experts Mailjet pour protéger durablement votre domaine, votre marque et vos revenus emailing.