Votre rapport DMARC indique SPF réussi et DKIM réussi. Chaque vérification d’authentification renvoie un résultat positif. Pourtant, l’e-mail atterrit toujours dans les spams ou n’arrive jamais.

L’écart entre le succès de l’authentification et l’échec de la distribution provient souvent d’une limite technique mal comprise : l’alignement DMARC. Réussir les vérifications d’authentification ne signifie pas automatiquement réussir DMARC. Et réussir DMARC ne garantit pas la livraison en boîte de réception.

Cet article explique pourquoi les e-mails authentifiés échouent, en quoi l’alignement DMARC diffère de l’authentification, où le système se brise, et ce que les organisations doivent vérifier au-delà des indicateurs verts.

I. Pourquoi la Réussite de l’Authentification ne Signifie pas la Réussite DMARC

Flux en quatre étapes montrant la validation SPF et DKIM, suivie de la vérification de l’alignement qui détermine le résultat DMARC.

SPF et DKIM valident l’identité de l’expéditeur. DMARC impose l’alignement entre les identifiants authentifiés et l’adresse From visible.

Un e-mail peut réussir SPF et DKIM mais échouer DMARC si le domaine authentifié ne s’aligne pas avec le domaine From de l’en-tête.

Ce que SPF Valide Réellement

SPF vérifie si l’adresse IP d’envoi est autorisée à envoyer au nom du domaine de l’expéditeur d’enveloppe (le domaine dans la commande MAIL FROM pendant SMTP).

Où SPF peut échouer silencieusement :

  • Un délai d’expiration de recherche DNS renvoie temperror au lieu de réussite ou d’échec
  • Plus de 10 recherches DNS déclenche permerror avant la fin de la validation
  • Le domaine de l’expéditeur d’enveloppe diffère du domaine From de l’en-tête—SPF réussit, mais l’alignement DMARC échoue

Exemple : Un service d’e-mail transactionnel envoie depuis bounce.sender.com (enveloppe) mais affiche votre-entreprise.com dans l’en-tête From visible. SPF réussit pour bounce.sender.com. DMARC échoue car les domaines ne s’alignent pas.

Ce que DKIM Valide Réellement

DKIM signe cryptographiquement le message et valide que la signature correspond à une clé publique publiée dans DNS pour le domaine de signature DKIM (d= dans l’en-tête DKIM-Signature).

Où DKIM peut échouer silencieusement :

  • La rotation de la clé de signature se produit mais l’enregistrement DNS n’est pas mis à jour ou est mis en cache
  • Une liste de diffusion ou un transfert modifie la ligne d’objet, le pied de page ou les pièces jointes—la signature se brise
  • Le domaine de signature DKIM diffère du domaine From de l’en-tête—DKIM réussit, mais l’alignement DMARC échoue

Exemple : Une plateforme marketing signe les messages avec d=platform.com. L’adresse From visible affiche votre-entreprise.com. DKIM réussit. DMARC échoue car platform.com ne s’aligne pas avec votre-entreprise.com.

II. Alignement DMARC : La Couche d’Application que l’Authentification Seule ne Fournit pas

Tableau comparatif entre l’alignement souple, qui autorise les variations de sous-domaines, et l’alignement strict, qui exige une correspondance exacte des domaines.

L’alignement DMARC exige qu’au moins un identifiant authentifié corresponde au domaine organisationnel dans l’adresse From de l’en-tête.

DMARC réussit quand :

  • SPF aligné réussit : le domaine de l’expéditeur d’enveloppe correspond au domaine From de l’en-tête (ou partage le même domaine organisationnel)
  • OU DKIM aligné réussit : le domaine de signature DKIM correspond au domaine From de l’en-tête (ou partage le même domaine organisationnel)

DMARC échoue quand :

  • SPF réussit mais le domaine de l’expéditeur d’enveloppe ne s’aligne pas avec le From de l’en-tête
  • DKIM réussit mais le domaine de signature ne s’aligne pas avec le From de l’en-tête
  • SPF et DKIM échouent tous les deux
  • SPF et DKIM réussissent tous les deux mais aucun ne s’aligne

Alignement Relâché vs Strict

DMARC prend en charge deux modes d’alignement :

Alignement relâché (par défaut) : Les domaines organisationnels doivent correspondre. Les sous-domaines sont autorisés.

Alignement strict : Les domaines doivent correspondre exactement.

La plupart des organisations utilisent l’alignement relâché pour accommoder les expéditeurs légitimes de sous-domaines. L’alignement strict peut briser les flux de travail transactionnels qui reposent sur des sous-domaines spécifiques aux services.

Quand l’Authentification Réussit Mais DMARC Échoue

Trois scénarios courants dans lesquels l’authentification réussit, mais l’alignement échoue, entraînant le rejet DMARC.

Scénarios courants où SPF ou DKIM réussit mais l’alignement DMARC échoue :

Services transactionnels tiers :

  • Le service envoie en utilisant son propre expéditeur d’enveloppe ou domaine de signature DKIM
  • Le From de l’en-tête affiche le domaine du client
  • L’authentification réussit pour le domaine du service
  • DMARC échoue car les domaines ne s’alignent pas

Messages transférés :

  • L’expéditeur original réussit SPF et DKIM
  • Le serveur de transfert relaie le message depuis une nouvelle adresse IP
  • SPF se brise (nouvelle IP non autorisée pour le domaine original)
  • DKIM peut survivre si le message n’est pas modifié
  • DMARC dépend de la survie de l’alignement DKIM

Listes de diffusion :

  • La liste modifie la ligne d’objet, le pied de page ou les pièces jointes
  • La signature DKIM se brise
  • SPF peut réussir pour le domaine du serveur de liste, mais pas pour l’expéditeur original
  • DMARC échoue sauf si la liste réécrit l’adresse From

III. Pourquoi la Réussite DMARC ne Garantit Toujours pas la Livraison en Boîte de Réception

La réussite DMARC élimine une condition d’échec. Elle ne remplace pas la réputation, l’analyse de contenu, les taux de plainte ou les signaux d’abus internes.

Les fournisseurs de messagerie évaluent :

  • L’authentification et l’alignement DMARC
  • La réputation de l’IP et du domaine d’envoi
  • Les taux de plainte et les signaux d’engagement
  • Les caractéristiques du contenu (liens, images, modèles de langage)
  • Le contexte de transfert et le comportement des listes de diffusion

Filtrage Silencieux Malgré la Conformité DMARC

Un e-mail peut réussir DMARC à p=reject et être quand même filtré vers les spams ou bloqué si :

  • L’IP d’envoi a une mauvaise réputation due à des abus antérieurs
  • Les taux de plainte dépassent les seuils des fournisseurs de messagerie
  • Le contenu déclenche des signaux de classification spam
  • L’historique d’engagement du destinataire montre un faible taux d’ouverture ou un taux de suppression élevé
  • Le domaine d’envoi est nouvellement enregistré ou manque d’historique d’envoi

Quand l’application dépend du comportement du récepteur :

  • Certaines listes de diffusion et serveurs de transfert n’honorent pas les politiques DMARC
  • Certains fournisseurs de messagerie appliquent des remplacements de réputation qui dé-priorisent les signaux DMARC
  • Les équipes d’abus internes peuvent remplacer l’authentification si des signaux comportementaux indiquent un abus coordonné

L’application DMARC (p=quarantine ou p=reject) demande aux récepteurs de rejeter ou mettre en quarantaine les messages non authentifiés. Le respect de cette instruction par les récepteurs dépend de leur architecture de filtrage, de la gestion des transferts et de la politique locale.

IV. Ce Qui Peut Échouer et Comment le Détecter

Mode d’Échec 1 : L’Authentification Réussit Mais l’Alignement Échoue

Ce qui se passe :

  • SPF ou DKIM renvoie réussite
  • Le rapport DMARC montre dmarc=fail avec reason=alignment_failure
  • Le serveur de réception peut toujours livrer le message, selon la politique DMARC et la réputation

Détection :

  • Examinez les rapports agrégés DMARC pour les lignes où auth_results.spf.result=pass ou auth_results.dkim.result=pass mais policy_evaluated.dmarc=fail
  • Vérifiez si le domaine de l’expéditeur d’enveloppe ou le domaine de signature DKIM s’aligne avec le From de l’en-tête

Correction :

  • Configurez les expéditeurs tiers pour utiliser un expéditeur d’enveloppe ou des domaines de signature DKIM alignés
  • Utilisez l’alignement de sous-domaine si la correspondance exacte n’est pas réalisable
  • Vérifiez que les services transactionnels prennent en charge la signature DKIM avec votre domaine

Mode d’Échec 2 : DMARC Réussit Mais le Message Est Filtré

Ce qui se passe :

  • Le rapport DMARC montre policy_evaluated.dmarc=pass
  • Le message n’atteint pas la boîte de réception
  • Aucun rejet SMTP ou rebond ne se produit

Détection :

  • Surveillance du taux de plainte via les outils postmaster (Google Postmaster Tools, Microsoft SNDS)
  • Métriques d’engagement montrant de faibles taux d’ouverture ou un placement élevé dans le dossier spam
  • Surveillance de la réputation des IP et domaines d’envoi

Correction :

  • Auditez la réputation d’envoi et les sources de plaintes
  • Examinez le contenu pour détecter des modèles déclencheurs de spam
  • Vérifiez le consentement des abonnés et l’hygiène de la liste
  • Testez la délivrabilité auprès de plusieurs fournisseurs de messagerie

Mode d’Échec 3 : Le Transfert Brise l’Authentification

Ce qui se passe :

  • L’expéditeur original réussit DMARC
  • Le serveur de transfert relaie le message depuis une nouvelle IP
  • SPF échoue (nouvelle IP non autorisée)
  • DKIM peut survivre si le message n’est pas modifié
  • DMARC dépend de la survie de l’alignement DKIM

Détection :

  • Rapports DMARC montrant une disposition forwarded ou SPF fail avec DKIM pass
  • Problèmes de livraison signalés par des utilisateurs qui transfèrent vers des comptes personnels

Correction :

  • Utilisez p=quarantine au lieu de p=reject pour réduire l’impact du transfert
  • Surveillez les rapports DMARC pour détecter les modèles de transfert
  • Communiquez avec les utilisateurs sur le comportement de transfert

Mode d’Échec 4 : Usurpation de Sous-domaine Malgré l’Application du Domaine Parent

Ce qui se passe :

  • Le domaine parent applique DMARC à p=reject
  • Le sous-domaine manque d’enregistrement DMARC explicite
  • Un attaquant envoie des messages usurpés depuis le sous-domaine
  • La politique DMARC s’applique, mais l’évaluation de l’alignement peut différer selon l’utilisation du sous-domaine

Détection :

  • Rapports DMARC montrant des échecs d’authentification pour les sous-domaines
  • Rapports de hameçonnage ciblant des adresses de sous-domaine

Correction :

  • Publiez des enregistrements DMARC explicites pour les sous-domaines actifs
  • Utilisez sp=reject dans l’enregistrement du domaine parent pour appliquer la politique de sous-domaine
  • Surveillez les rapports DMARC pour détecter l’utilisation non autorisée de sous-domaines

V. Ce qu’il Faut Documenter et Vérifier

Les organisations qui supposent que la réussite de l’authentification signifie la conformité DMARC créent des angles morts opérationnels. Documentez les éléments suivants :

Identifiants authentifiés pour chaque expéditeur :

  • Domaine de l’expéditeur d’enveloppe (domaine de vérification SPF)
  • Domaine de signature DKIM (valeur d=)
  • Domaine From de l’en-tête (expéditeur visible)
  • Si l’alignement est relâché ou strict

Configuration de l’expéditeur par flux de courrier :

  • E-mail transactionnel : CRM, billetterie support, réinitialisations de mot de passe
  • E-mail marketing : Plateformes de newsletter, campagnes promotionnelles
  • E-mail opérationnel : Notifications internes, alertes système
  • Services tiers : Outils SaaS, plugins, intégrations

Conditions d’échec observées dans les rapports DMARC :

  • Volume de dmarc=fail avec spf=pass ou dkim=pass
  • Fréquence des échecs liés au transfert
  • Tentatives d’expéditeurs non autorisés
  • Modèles d’usurpation de sous-domaine

Contexte de réputation et de filtrage :

  • Taux de plainte par domaine et IP d’envoi
  • Tendances de placement dans le dossier spam
  • Métriques d’engagement (taux d’ouverture, taux de suppression)
  • Retours des outils postmaster des principaux récepteurs

VI. Comment Skysnag Prend en Charge la Vérification et la Surveillance de l’Alignement

Skysnag Protect identifie les échecs d’alignement, les expéditeurs non autorisés et les lacunes d’authentification à travers les flux de courrier et les services tiers.

Visibilité de l’alignement :

  • Analyse des rapports agrégés DMARC montrant le statut SPF, DKIM et d’alignement par expéditeur
  • Détection de l’authentification réussie avec échec d’alignement
  • Identification des services tiers utilisant des identifiants non alignés

Autorisation des expéditeurs :

  • Inventaire des sources de courrier autorisées et non autorisées
  • Détection de l’IT fantôme et des expéditeurs tiers non gérés
  • Validation des inclusions SPF et configurations de signature DKIM

Mise en place progressive de l’application :

  • Application progressive de la politique par domaine, sous-domaine et groupe d’expéditeurs
  • Surveillance de l’impact avant de passer de p=none à p=quarantine ou p=reject
  • Collecte de preuves pour les programmes de conformité et d’audit

Commencez la surveillance DMARC avec Skysnag et vérifiez si vos expéditeurs authentifiés s’alignent avec votre domaine :

VII. Points clés

  • Réussir SPF ou DKIM ne signifie pas réussir DMARC. L’alignement exige que le domaine authentifié corresponde au domaine From de l’en-tête.
  • Réussir DMARC ne garantit pas la distribution en boîte de réception. Les fournisseurs de messagerie évaluent la réputation, le contenu, les taux de plainte et l’engagement en plus de l’authentification.
  • L’alignement DMARC peut échouer même lorsque l’authentification réussit. Les non-correspondances du domaine expéditeur d’enveloppe (SPF) et du domaine de signature DKIM provoquent des échecs d’alignement.
  • Le transfert et les listes de diffusion cassent couramment l’authentification. SPF échoue lorsque l’IP de relais change. DKIM échoue lorsque le message est modifié.
  • L’usurpation de sous-domaine peut contourner l’application du domaine parent. Utilisez des enregistrements DMARC de sous-domaine explicites ou sp=reject pour appliquer la politique de sous-domaine.
  • L’authentification est nécessaire mais pas suffisante. La délivrabilité dépend de l’authentification, de la réputation, du contenu et du comportement du destinataire.
  • Les rapports DMARC montrent où l’alignement échoue. Surveillez les rapports agrégés pour les lignes où spf=pass ou dkim=pass mais dmarc=fail.
  • Les expéditeurs tiers introduisent couramment des lacunes d’alignement. Vérifiez que les services transactionnels, les plateformes marketing et les outils SaaS utilisent des identifiants alignés.
  • Les organisations doivent documenter les identifiants authentifiés par flux de courrier. Le domaine expéditeur d’enveloppe, le domaine de signature DKIM et le domaine From de l’en-tête doivent être suivis et validés.
  • Skysnag Protect identifie les échecs d’alignement et les expéditeurs non autorisés. Utilisez Skysnag pour vérifier l’alignement, détecter le shadow IT et appliquer la mise en œuvre en toute sécurité.