Configurer DMARC progressivement sans casser sa délivrabilité

DMARC (Domain-based Message Authentication, Reporting and Conformance) est devenu le standard pour empêcher l'usurpation de votre domaine en mail. C'est aussi un signal fort que Gmail et Outlook regardent pour décider si vos mails arrivent en boîte de réception ou en spam. Mais activer DMARC trop vite, en politique reject directement, peut bloquer 30 à 50% de vos envois légitimes le premier jour. Voici comment construire la transition.

1. Comprendre les trois politiques DMARC

DMARC se décline en trois politiques, dans l'ordre de sévérité croissante :

• none : aucune action, juste de la surveillance. Les serveurs destinataires vous envoient des rapports d'authentification mais traitent les mails normalement.

• quarantine : les mails qui échouent à DMARC sont mis en spam, mais arrivent quand même.

• reject : les mails qui échouent sont purement rejetés au niveau SMTP. Ils ne parviennent jamais au destinataire.

Passer en reject directement sans audit est la cause numéro un de pannes mail silencieuses. Vous découvrez 3 mois plus tard qu'un fournisseur cloud envoyait vos notifications à vos clients depuis votre domaine, et que tout ça est bloqué depuis le début.

2. Étape 1 - SPF strict avant tout

Avant même de toucher à DMARC, posez un enregistrement SPF qui liste TOUS les services autorisés à envoyer en votre nom : votre serveur mail principal, votre prestataire transactionnel (SendGrid, Mailgun, etc.), votre CRM s'il envoie des mails (Salesforce, HubSpot), votre outil de newsletter (Mailchimp), vos services internes (alertes monitoring, etc.).

Terminer par -all (rejet strict, pas ~all qui est juste un soft fail). Si vous n'êtes pas sûr de la liste complète, partez sur ~all pendant un mois de transition puis passez à -all.

3. Étape 2 - DKIM sur tous les flux émetteurs

DKIM signe chaque mail avec votre clé privée. Le destinataire vérifie la signature avec la clé publique publiée dans votre DNS. Sans DKIM, DMARC ne peut pas aligner correctement (SPF seul est trop fragile aux transferts).

Chaque service doit avoir sa propre clé DKIM publiée sur un sélecteur dédié (ex : mail._domainkey, mailchimp._domainkey). Cela permet de révoquer une clé si un service est compromis, sans casser les autres.

4. Étape 3 - DMARC en politique none + rapports

Publiez DMARC en politique p=none avec une adresse rua= pour recevoir les rapports d'agrégation. Format typique :

v=DMARC1; p=none; rua=mailto:dmarc@votreentreprise.com; ruf=mailto:dmarc-forensic@votreentreprise.com; fo=1; aspf=s; adkim=s

Les serveurs Gmail, Outlook, Yahoo vont commencer à vous envoyer des rapports XML quotidiens. Parsez-les avec parsedmarc ou un service en ligne. Vous verrez exactement quels IP et quels domaines envoient en votre nom, et combien échouent SPF/DKIM.

5. Étape 4 - Analyser 4 à 8 semaines avant de durcir

Pendant 4 à 8 semaines, regardez les rapports DMARC. L'objectif : descendre le taux d'échec SPF+DKIM aligné sous 1% sur tous vos flux légitimes. Tant que ce n'est pas le cas, ne passez PAS en quarantine : vous bloqueriez du trafic réel.

Pour chaque flux qui échoue, deux options : (a) ajouter le service à votre SPF + activer son DKIM, ou (b) si c'est un service que vous n'utilisez plus, supprimer sa configuration.

6. Étape 5 - Quarantine puis reject

Quand le taux d'échec légitime est proche de zéro, passez à p=quarantine; pct=10 (10% des mails non alignés en spam, le reste passe). Surveillez les rapports pendant 2 semaines. Si pas de plainte, passez à pct=50, puis pct=100. Puis enfin p=reject quand vous êtes confiant.

La progression complète, du p=none au p=reject; pct=100, prend typiquement 3 à 4 mois. C'est long mais c'est ce qui distingue une configuration DMARC robuste d'un site cassé pendant 6 mois sans s'en rendre compte.

7. Erreurs courantes à éviter

• Activer DMARC reject sans avoir SPF et DKIM en place : 100% des mails seront rejetés.

• Oublier les services tiers (CRM, transactionnel) qui envoient en votre nom.

• Utiliser une adresse rua= qui n'est pas du même domaine que le DMARC (sauf si vous avez configuré l'autorisation cross-domain).

• Activer DMARC sur un domaine parking utilisé pour les mails legacy : très souvent, il y a des flux historiques que personne ne connaît plus.

• Ne pas surveiller les rapports DMARC après la mise en reject : un nouveau service ajouté plus tard peut casser sans alerte.