« Aucun enregistrement DMARC trouvé » signifie qu’aucun enregistrement TXT n’existe sur _dmarc.votredomaine.com. Les serveurs de réception n’ont donc aucune politique à appliquer et votre domaine peut être usurpé. Corrigez cela en publiant un enregistrement TXT nommé _dmarc avec la valeur v=DMARC1; p=none; rua=mailto:[email protected], puis renforcez-le vers p=reject une fois que vos rapports confirment que tous vos expéditeurs légitimes passent.
Le vérificateur a interrogé le sous-domaine _dmarc de votre domaine et n’a rien reçu. DMARC n’est ni hérité ni actif par défaut : si vous n’avez jamais publié d’enregistrement, il n’y en a aucun. Jusque-là, les fournisseurs de messagerie n’ont aucune instruction pour les e-mails qui échouent à l’authentification, ce sur quoi reposent le phishing et la fraude au courrier d’entreprise.
Ajoutez un enregistrement DNS TXT. Le nom d’hôte est _dmarc (votre fournisseur DNS ajoute votre domaine automatiquement). La valeur est v=DMARC1; p=none; rua=mailto:[email protected]. Avec p=none, rien n’est bloqué : vous ne faites que collecter des données.
Laissez l’enregistrement en p=none quelques semaines. La boîte rua reçoit des rapports agrégés quotidiens listant chaque service qui envoie en tant que votre domaine. Authentifiez les légitimes avec SPF et DKIM, puis passez p=none → p=quarantine → p=reject. Seuls quarantine et reject arrêtent réellement l’usurpation.
Ne publiez qu’un seul enregistrement DMARC : deux enregistrements rendent la configuration invalide. Ne dupliquez pas le nom d’hôte (pas de _dmarc.votredomaine.com.votredomaine.com). Et utilisez une boîte rua que vous surveillez réellement, sinon la visibilité est perdue.
Dans votre DNS, créez un enregistrement TXT avec l'hôte _dmarc et cette valeur :
$ v=DMARC1; p=none; rua=mailto:[email protected]Après la propagation du DNS (de quelques minutes à une heure), confirmez-le :
$ dig TXT _dmarc.yourdomain.com +shortVérifiez votre enregistrement DMARC maintenant
Ouvrir le vérificateur DMARC gratuit →Non, il ne fait que surveiller. Votre domaine n’est protégé qu’en p=quarantine ou p=reject. Utilisez p=none pour collecter des données, pas comme objectif final.
En p=none, non, rien n’est bloqué. Le risque n’apparaît qu’à l’application si un expéditeur légitime n’est pas authentifié ; c’est pourquoi vous surveillez d’abord les rapports.
Les changements DNS se propagent en quelques minutes à une heure. Les rapports arrivent ensuite chaque jour, pas instantanément.
