Aller au contenu

Votre politique DMARC est « none » : n’importe qui peut envoyer des e-mails en votre nom

Avertissement Tout le domaine Délivrabilité des e-mails

Instructions générales. Ouvrez cet article depuis votre rapport PageCheck pour le voir complété avec les enregistrements de votre domaine et les étapes exactes de votre hébergeur DNS.

De quoi s’agit-il

DMARC est un enregistrement TXT situé à _dmarc.example.com. Il indique aux serveurs de messagerie destinataires que faire des e-mails qui prétendent venir de votre domaine mais échouent à SPF et DKIM.

Ce qui ne va pas

La politique est p=none, qui ne fait que collecter des rapports. Les e-mails falsifiés au nom de votre domaine sont toujours distribués.

Comment corriger

1. Assurez-vous que chaque service qui envoie vos e-mails les signe avec DKIM. Un e-mail qui ne passe que grâce à SPF échoue à DMARC lorsqu’il est transféré.

  • Google Workspace: admin.google.com → Apps → Google Workspace → Gmail → Authenticate email.
  • Microsoft 365: security.microsoft.com → Email authentication settings → DKIM.
  • Autres services (newsletter, boutique, facturation) : leurs réglages d’authentification du domaine ou de DKIM.

2. Attendez 3 jours, puis consultez les rapports. Les rapports arrivent à l’adresse indiquée dans la balise rua= de l’enregistrement ; un service de rapports DMARC les rend plus faciles à lire. Pour les jours écoulés depuis les étapes ci-dessus, chaque service qui envoie vos e-mails doit réussir. Si l’un d’eux échoue, corrigez d’abord cet expéditeur et ne modifiez pas encore la politique.

3. Modifiez la politique. Remplacez p=none par p=quarantine et laissez le reste de l’enregistrement tel quel.

  1. Ouvrez les enregistrements DNS de votre domaine là où son DNS est géré : en général chez le registraire du domaine, l’hébergeur du site ou Cloudflare.
  2. Modifiez l’enregistrement TXT nommé _dmarc et remplacez sa valeur par : le même enregistrement, avec p=none remplacé par p=quarantine
  3. Enregistrez. La plupart des hébergeurs DNS l’appliquent en moins d’une heure.

Plus tard 4. Après 4 semaines sans échec de vos propres e-mails dans les rapports, remplacez de la même manière p=quarantine par p=reject. 

Enforce DMARC for example.com (found by PageCheck: the policy is p=none, so forged mail is still delivered).

Steps:
1. List everything that sends mail as @example.com, including SMTP / mail API settings in this codebase. For each, say whether it can pass SPF or DKIM aligned with example.com.
2. Make sure each sender signs with DKIM for example.com; tell me where to turn it on and which DNS records to add.
3. Stop here and tell me to come back in 3 days: DKIM needs up to 48 hours to start, and the reports need a few days of data.
4. Check with me in the DMARC reports that every sender from step 1 passes. If one fails, fix it and do not change the policy.
5. Only then change the TXT record _dmarc.example.com from p=none to p=quarantine, keeping the rest. Tell me the exact steps for my DNS host, or do it through its API if you have access.
6. Verify the record with a DNS-over-HTTPS query and report what changed.
Do not set p=reject.

Analysez votre site pour savoir s’il a ce problème. Analyser un site