Vérifiez instantanément l’enregistrement DMARC de votre domaine. Obtenez une analyse détaillée de votre politique d’authentification des emails et identifiez les failles de sécurité pouvant exposer votre marque aux attaques par usurpation d’identité.
La mise en œuvre de DMARC peut être complexe et risquée si elle est mal réalisée. Skysnag automatise tout le processus, de la configuration initiale à la surveillance continue et à l’application des politiques.
Configuration automatisée
Générez et déployez des enregistrements DMARC sans aucune configuration manuelle.
Surveillance en temps réel
Suivez les résultats d’authentification et les violations de politique en temps réel.
Application progressive
Progressez en toute sécurité du mode surveillance à la protection complète sans perturber les emails.
Rapports détaillés
Transformez des rapports XML complexes en informations exploitables.
Découverte des sources
Identifiez automatiquement toutes les sources légitimes d’emails pour votre domaine.
Détection de Menaces
Identifiez et bloquez les tentatives d’usurpation visant votre domaine.
DMARC (Domain-based Message Authentication, Reporting and Conformance) est un protocole d’authentification des e-mails qui protège votre domaine contre les attaques de usurpation d’identité par e-mail. Il s’appuie sur SPF et DKIM pour offrir une sécurité complète des e-mails.
Empêchez les attaquants d’usurper votre domaine et protégez la réputation de votre marque contre les attaques de phishing.
Visualisez toutes les sources d’envoi utilisant votre domaine, y compris les expéditeurs légitimes et malveillants.
Recevez des rapports complets sur les résultats d’authentification des emails et les violations de politique.
Respectez les exigences d’authentification des emails de Microsoft, Google et Yahoo pour garantir la délivrabilité.
Les politiques DMARC déterminent le traitement des emails échouant à l’authentification. Choisissez le niveau de politique adapté à vos besoins en sécurité et à votre préparation à la mise en œuvre.
Mode surveillance — les emails sont délivrés normalement tout en collectant des données sur les résultats d’authentification.
Les messages échoués sont envoyés dans les dossiers spam/courriers indésirables, réduisant la visibilité des emails malveillants.
Les messages échoués sont complètement bloqués, offrant la protection la plus forte contre l’usurpation.
Découvrez l’impact d’une mise en œuvre correcte de DMARC avec Skysnag.
100%
attaques d’usurpation de domaine bloquées
30
jours pour une application complète de DMARC
99.9%
taux de délivrabilité des emails légitimes
24/7
surveillance continue et alertes
Rencontrez l’un de nos experts pour examiner votre rapport. Nous vous guiderons à travers les problèmes, expliquerons les lacunes de sécurité et vous montrerons exactement comment Skysnag les résout automatiquement.
Discuter de mes résultatsSkysnag vous offre tout ce dont vous avez besoin pour appliquer DMARC, automatiser SPF et DKIM, déployer MTA-STS et TLS-RPT, et activer BIMI – afin que vos e-mails soient sécurisés, conformes et dignes de confiance.
Monitor
Identifiez les tentatives de compromission d’e-mails et résolvez les problèmes de livraison d’e-mails
Comply
Respectez les exigences de Microsoft, Google et Yahoo et visualisez les données d’envoi en temps réel
Protect
Automatisez l’application de DMARC pour une sécurité e-mail inégalée
Certify
Certifiez votre marque avec la norme d’identité la plus élevée au monde
Un enregistrement DMARC est un enregistrement DNS TXT, publié sur _dmarc.yourdomain.com, qui indique aux serveurs de messagerie de réception quoi faire avec les e-mails qui échouent à l'authentification SPF et DKIM — et où envoyer les rapports. C'est ainsi qu'un propriétaire de domaine empêche les attaquants d'usurper son domaine exact. Un enregistrement DMARC doit commencer par v=DMARC1 et définir une stratégie avec la balise p (none, quarantine ou reject).
DMARC (Domain-based Message Authentication, Reporting & Conformance) est une norme d'authentification de courrier électronique, définie dans la RFC 7489, qui s'appuie sur SPF et DKIM. SPF et DKIM vérifient chacun une partie d'un message ; DMARC les lie au domaine visible De : et permet au propriétaire du domaine de publier une politique unique sur ce qui doit se passer en cas d'échec d'un message.
Sans DMARC, n'importe qui peut envoyer des e-mails qui semblent provenir de votre domaine – la technique de base du phishing, de la compromission des e-mails professionnels (BEC) et de la fraude aux factures. Avec une politique DMARC appliquée (p=quarantine ou p=reject), les fournisseurs de boîtes aux lettres mettront en quarantaine ou bloqueront ces faux messages, protégeant ainsi vos clients, partenaires et votre marque.
DMARC déverrouille également les rapports. Les rapports agrégés (RUA) vous offrent une visibilité quotidienne sur chaque service envoyé en tant que domaine (légitime ou non), ce qui permet de passer en toute sécurité de la surveillance à l'application.
Vous pouvez vérifier l'enregistrement DMARC de n'importe quel domaine en quelques secondes, soit avec l'outil ci-dessus, soit manuellement depuis votre propre terminal. Un enregistrement DMARC se trouve dans un enregistrement TXT dans le sous-domaine _dmarc.
Recherchez le sous-domaine _dmarc du domaine que vous souhaitez vérifier. Sous macOS ou Linux :
$ dig TXT _dmarc.example.com +shortUtilisez nslookup ou Resolve-DnsName de PowerShell :
$ nslookup -type=TXT _dmarc.example.com$ Resolve-DnsName -Name _dmarc.example.com -Type TXTUne réponse valide commence par v=DMARC1. Si rien ne revient, le domaine n'a aucun enregistrement DMARC et n'est pas protégé. Si deux enregistrements sont renvoyés, la configuration n'est pas valide : un domaine ne peut publier qu'un seul enregistrement DMARC.
_dmarc.example.comv=DMARC1; p=reject; rua=mailto:dmarc@example.com; adkim=s; aspf=sUn enregistrement DMARC fort et appliqué : rejeter le courrier usurpé, envoyer des rapports agrégés à une boîte aux lettres surveillée et exiger un alignement strict pour DKIM et SPF.
Un enregistrement DMARC est un ensemble de paires tag=value séparées par des points-virgules. Seules les balises v et p sont requises ; le reste est facultatif mais recommandé.
| Balise | Type | Signification |
|---|---|---|
v |
Obligatoire | Version du protocole. Doit être la première balise et doit être égal à DMARC1. |
p |
Obligatoire | Stratégie pour le domaine : none (moniteur uniquement), quarantine (envoi au courrier indésirable) ou reject (blocage). |
rua |
Recommandé | Adresse(s) qui reçoivent des rapports agrégés (XML quotidiens), par ex. mailto:[email protected]. C'est votre visibilité. |
sp |
Facultatif | Politique pour les sous-domaines. En cas d'omission, les sous-domaines héritent de la stratégie p. |
adkim |
Facultatif | Mode d'alignement DKIM : r (détendu, par défaut) ou s (strict). |
aspf |
Facultatif | Mode d'alignement SPF : r (détendu, par défaut) ou s (strict). |
pct |
Facultatif | Pourcentage de courrier auquel la stratégie s’applique (1–100). Étant obsolète dans la spécification DMARC mise à jour. |
ruf |
Facultatif | Adresse pour les rapports médico-légaux/de panne. Rarement pris en charge par les fournisseurs aujourd'hui. |
fo |
Facultatif | Options de rapport de panne (0, 1, d, s). |
np |
Facultatif | Politique pour les sous-domaines inexistants (balise plus récente ; contrôle anti-usurpation fort). |
La balise p est le cœur de DMARC. Il existe trois niveaux – et seuls deux d’entre eux vous protègent réellement.
p=none
Surveillance
Rien n'est bloqué. Vous collectez simplement des rapports. Essentiel comme point de départ, mais un domaine sur p=none n'est pas protégé contre l'usurpation d'identité.
p=quarantine
Appliqué
Le courrier qui échoue à DMARC est remis dans le dossier spam/indésirable. La véritable protection commence ici.
p=reject
Appliqué
Le courrier qui échoue à DMARC est complètement bloqué et n'atteint jamais la boîte de réception. La protection la plus solide et l'objectif pour chaque domaine.
Après avoir effectué une vérification, voici ce que signifient les résultats les plus courants et que faire ensuite.
| Résultat | Ce que cela signifie et que faire |
|---|---|
| Aucun enregistrement DMARC trouvé | Votre domaine est largement ouvert à l'usurpation d'identité de domaine exact. Publiez un enregistrement commençant à p=none avec une adresse rua pour commencer la collecte de données. |
| p=none | Vous avez une visibilité mais aucune protection. Utilisez vos rapports pour authentifier chaque expéditeur légitime, puis passez à quarantine et reject. |
| p=quarantine ou p=reject, mais le courrier échoue | Les expéditeurs légitimes ne sont pas alignés. Corrigez SPF/DKIM pour ces services avant qu'ils ne soient mis en quarantaine ou bloqués. |
| Plusieurs enregistrements DMARC | Invalide : les récepteurs peuvent ignorer complètement DMARC. Supprimez tous les enregistrements sauf un. |
| Aucune adresse rua | Vous volez à l'aveugle. Ajoutez un rua pour voir qui envoie comme domaine. |
Un enregistrement DMARC est un enregistrement DNS TXT publié sur _dmarc.yourdomain.com qui indique aux serveurs de messagerie de réception comment gérer les e-mails provenant de votre domaine qui échouent aux contrôles SPF et DKIM, et où envoyer les rapports d'authentification. Cela commence toujours par v=DMARC1.
Exécutez dig TXT _dmarc.yourdomain.com +short (macOS/Linux) ou nslookup -type=TXT _dmarc.yourdomain.com (Windows) ou utilisez le vérificateur gratuit ci-dessus. Un enregistrement valide commence par v=DMARC1.
Non. p=none surveille uniquement — rien n'est bloqué. Un domaine n'est protégé contre l'usurpation d'identité qu'une fois qu'il atteint p=quarantine ou p=reject. Traitez p=none comme une étape temporaire de collecte de données et non comme une destination.
Techniquement oui — DMARC réussit si SPF ou DKIM réussit et s'aligne sur le domaine From. Mais DKIM survit au transfert, contrairement à SPF, il est donc fortement recommandé d'utiliser les deux pour un taux de réussite fiable.
Non. Un domaine doit publier exactement un enregistrement DMARC. Si deux sont trouvés, les récepteurs peuvent ignorer complètement DMARC pour ce domaine.
L'alignement signifie que le domaine validé par SPF ou DKIM correspond au domaine visible De. Un alignement détendu permet aux sous-domaines de correspondre au domaine organisationnel ; un alignement strict nécessite une correspondance exacte. Sans alignement, SPF ou DKIM peuvent réussir tandis que DMARC échoue toujours.
Pour une organisation typique, il faut quelques semaines de surveillance pour découvrir et authentifier chaque expéditeur légitime avant de passer en toute sécurité à reject. Skysnag automatise la découverte des sources et le déploiement afin que la plupart des domaines soient mis en application en 30 jours environ sans bloquer le courrier réel.
Vérifiez que votre enregistrement contient une adresse rua=mailto: valide, que la boîte aux lettres existe et peut recevoir de gros volumes et, si les rapports sont dirigés vers un domaine différent, que vous avez autorisé la création de rapports inter-domaines. Les rapports arrivent quotidiennement, pas instantanément.
DMARC arrête l'usurpation d'identité exact-domain (les messages qui falsifient votre véritable domaine dans l'adresse De) une fois appliqués. Cela n’arrête pas en soi les domaines similaires (« cousins ») ; Associez l'application avec BIMI et la surveillance de la marque pour cela.
Non. Un enregistrement DMARC reste actif jusqu'à ce que vous le modifiiez. Vous devez toujours le consulter régulièrement lorsque vous ajoutez ou supprimez des services d'envoi afin que votre politique et vos rapports restent exacts.
