Un message échoue à DMARC lorsque ni SPF ni DKIM ne passe et ne s’aligne en même temps avec le domaine De: visible. Les deux solutions : assurez-vous que chaque expéditeur légitime dispose d’un SPF ou DKIM fonctionnel, et que le domaine authentifié s’aligne avec votre domaine De:. L’alignement — et pas seulement la réussite — fait trébucher la plupart des expéditeurs.
DMARC exige l’alignement : le domaine validé par SPF ou DKIM doit correspondre à votre domaine De:. Une plateforme marketing peut passer SPF pour son domaine alors que votre domaine De: est le vôtre : SPF passe, DMARC échoue. L’alignement DKIM (signer avec votre domaine) est généralement la voie la plus fiable car il survit au transfert.
Vos rapports agrégés rua montrent, par source, si SPF et DKIM ont passé et se sont alignés. Traitez chaque source en échec : activez un DKIM aligné au domaine chez le fournisseur, ou ajoutez-la à SPF avec un domaine d’enveloppe correspondant. Ne passez pas à p=reject tant que les vrais expéditeurs ne montrent pas des réussites alignées.
Le transfert casse SPF (le serveur change), mais une signature DKIM valide survit au transfert tant que le corps n’est pas modifié. Pour les listes qui modifient les messages, ARC aide les destinataires à honorer l’authentification d’origine.
Assurez-vous d'avoir une adresse rua collectant des données :
$ dig TXT _dmarc.yourdomain.com +shortVérifiez votre enregistrement DMARC maintenant
Ouvrir le vérificateur DMARC gratuit →Parce que SPF a authentifié un domaine différent de votre domaine De: (pas d’alignement). Activez un DKIM signé avec votre propre domaine, ou alignez le domaine d’enveloppe / return-path.
Le transfert casse SPF, mais une signature DKIM valide survit au transfert — c’est pourquoi DMARC a besoin de DKIM pour être fiable.
