Passer DMARC en reject sans casser sa messagerie

Passer en p=reject ne casse jamais un message correctement authentifié. La question n’est donc pas « le rejet est-il dangereux » mais « ai-je bien recensé tout ce qui envoie en mon nom ». Le sinistre type n’est pas la messagerie principale, qui est toujours identifiée : c’est le logiciel de facturation acheté il y a six ans, la plateforme de recrutement, l’outil de signature électronique, la newsletter que le stagiaire a configurée.

Ces expéditeurs-là ne se retrouvent pas par la mémoire. Ils se retrouvent dans les rapports agrégés, qui recensent chaque adresse IP ayant envoyé sous votre nom, quelle qu’en soit la raison.

1. 01

   Palier 0 · Relever l’existant

   Avant toute publication, regardez ce qui est déjà là. Un enregistrement oublié, deux SPF concurrents, un DKIM expiré : la moitié des difficultés se voient à ce stade.

   dig +short TXT exemple.fr
   dig +short TXT _dmarc.exemple.fr

2. 02

   Palier 1 · Observer, deux à quatre semaines

   Publiez une politique qui ne bloque rien et une adresse de rapports sur une boîte dédiée. Comptez un cycle mensuel complet : la paie, les relances, la newsletter trimestrielle si elle tombe dans la fenêtre.

   _dmarc  IN  TXT  "v=DMARC1; p=none; rua=mailto:rapports@exemple.fr"

3. 03

   Palier 2 · Recenser et aligner

   Pour chaque source apparaissant dans les rapports, tranchez : légitime ou non. Chaque source légitime doit ensuite être alignée sur au moins l’un des deux contrôles. En pratique, DKIM est le plus simple : la plupart des prestataires proposent de publier deux ou trois enregistrements sur votre domaine, et l’alignement suit.

4. 04

   Palier 3 · Traiter le cas SPF des prestataires

   Un routeur qui envoie avec sa propre adresse de retour réussit SPF sur son domaine à lui, donc l’alignement échoue. La correction consiste à activer chez lui un domaine de retour personnalisé, sous un sous-domaine du vôtre, puis à publier l’enregistrement qu’il indique. Surveillez au passage la limite de dix résolutions : c’est le moment où on la dépasse.

5. 05

   Palier 4 · Quarantaine, une à deux semaines

   Quand les rapports ne montrent plus que des sources connues et alignées, passez en quarantaine. Ce palier existe pour rattraper l’expéditeur oublié : ses messages iront en indésirables et quelqu’un s’en plaindra, au lieu de disparaître sans bruit.

   _dmarc  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:rapports@exemple.fr"

6. 06

   Palier 5 · Rejet, puis alignement strict

   Deux semaines sans incident, et le rejet peut être publié. L’alignement strict se pose ensuite, séparément : c’est une seconde modification, avec sa propre semaine d’observation, parce qu’elle invalide les sous-domaines qui passaient jusque-là par tolérance.

   _dmarc  IN  TXT  "v=DMARC1; p=reject; rua=mailto:rapports@exemple.fr;
                      adkim=s; aspf=s"

Un rapport agrégé est un fichier XML compressé, envoyé une fois par jour et par fournisseur. Ouvert dans un éditeur de texte, il est illisible. Ce que l’on cherche pourtant tient en trois questions.

1. Quelles adresses IP envoient sous mon nom, et lesquelles ne reconnais-je pas ?
2. Pour chaque source reconnue, l’alignement est-il obtenu par SPF, par DKIM, ou par aucun des deux ?
3. Le volume d’une source inconnue est-il en train d’augmenter ?

Les volumes d’une PME sont faibles : quelques dizaines de sources en tout, dont trois ou quatre représentent 95 % du trafic. Une fois le recensement fait, la lecture mensuelle prend quelques minutes.

Elle protège votre nom de domaine. Elle ne fait rien contre un domaine sosie ni contre un nom affiché trompeur, qui sont détaillés dans l’article sur les limites de DMARC.

Elle suppose aussi que vous connaissez la liste de vos domaines. Les marques déposées, les anciens noms commerciaux et les domaines achetés en défense sont régulièrement oubliés, et ce sont ceux que personne ne surveille.