Nom sans messagerie : la configuration Null MX
Par CaptainDNS
Publié le 29 août 2026
- Publiez un unique MX de priorité
0dont la cible est.: l'absence de MX déclenche encore un repli vers l'adresse A ou AAAA. - Pour l'envoi, utilisez le SPF nu
v=spf1 -allet DMARC avecp=reject; sp=reject; np=reject. Placez leruasur un autre domaine qui reçoit. - Ne publiez aucun sélecteur DKIM. Un
p=vide révoque une ancienne clé ; ce n'est pas la politique d'un nom qui n'envoie pas. - L'audit public affiche une réception pleine, mais une zone de référence reste dans la bande Bon, autour de 80-85 selon
ruaet DNSSEC.
Un nom sans messagerie paraît simple à administrer : aucune boîte, aucun serveur SMTP, donc rien à configurer. C'est justement le piège. Une zone laissée avec les valeurs du registrar peut encore contenir un MX par défaut. Un SPF trop large peut autoriser un ancien prestataire. Sans politique DMARC, les destinataires ne reçoivent aucune consigne ferme contre l'usurpation.
Autre erreur fréquente : supprimer tous les MX et croire la réception fermée. Le protocole SMTP a prévu un repli vers les adresses A ou AAAA quand aucun MX n'existe. Pour un site web, ce repli vise précisément le serveur qui sert le site. Il répondra peut-être mal ou tard, mais l'expéditeur distant aura tout de même essayé de lui remettre du courrier.
La recette ci-dessous traite deux usages dans la même zone de référence : un site vitrine ou une application en HTTPS sans aucune boîte, puis un nom défensif sans site et sans certificat. Leur socle mail est identique. Leur CAA diffère, car le premier doit continuer à renouveler son certificat tandis que le second doit interdire toute émission.
Vérifiez la zone, puis générez votre politique DMARC
Le problème d'une zone laissée par défaut
Un nom sans messagerie doit annoncer explicitement qu'il ne reçoit et n'envoie aucun courrier. Le silence DNS laisse des comportements de repli et des autorisations anciennes.
Commencez par inventorier la zone. Cherchez les MX ajoutés par le registrar, les TXT SPF historiques, _dmarc, les sélecteurs sous _domainkey, les adresses A et AAAA, puis les CAA. Un MX qui pointe vers une offre mail gratuite n'est pas inoffensif : si une boîte peut être créée plus tard par erreur, le nom recommence à recevoir. Un SPF contenant include: autorise encore le service désigné à présenter ce nom dans l'enveloppe SMTP.
Une zone sans DMARC laisse aussi chaque destinataire décider seul du sort d'un message usurpé. SPF peut échouer, mais DMARC est la couche qui relie l'authentification au domaine visible dans l'adresse From et publie une politique. Pour ce cas fermé, l'objectif est net : aucune source légitime n'existe, donc tout message prétendant venir du nom doit être rejeté.
Le résultat attendu n'est pas une collection de mécanismes mail. C'est une déclaration négative cohérente : aucune destination de réception, aucun émetteur autorisé, une politique de rejet et aucune clé DKIM inventée. Moins d'enregistrements, mais chacun a un sens précis.
Null MX ferme explicitement la réception
Un Null MX est un unique enregistrement MX de priorité 0 dont la cible est le nom racine .. La RFC 7505 le définit pour annoncer qu'un nom n'accepte aucun courrier.
La représentation de zone est courte :
example.com. IN MX 0 .
Selon l'interface DNS, la cible peut apparaître comme un point, une valeur vide ou une option dédiée « Null MX ». Le résultat publié doit rester un seul MX avec préférence zéro et un nom d'échange vide. N'ajoutez pas un second MX de secours : la présence d'une autre cible contredit la déclaration.
L'absence de MX n'a pas le même sens
Sans réponse MX, un expéditeur SMTP peut essayer l'adresse A ou AAAA du nom comme si elle était un échangeur implicite. Ce comportement historique est la raison principale de publier Null MX même pour un domaine qui ne porte aucun site.
Avec Null MX, l'expéditeur comprend que la réception est impossible et n'essaie pas le serveur web. Dans l'audit CaptainDNS, cette configuration obtient la réception pleine. MTA-STS, DANE et TLS-RPT ne sont alors pas nécessaires : ils protègent un transport SMTP qui n'existe pas, et l'audit accorde les points correspondants.
La nuance compte aussi quand le nom n'a ni A ni AAAA. L'absence de MX reste une absence, pas une déclaration Null MX. Publier 0 . documente l'intention, résiste à l'ajout futur d'une adresse web et produit une réponse sans ambiguïté pour les expéditeurs.
Fermer l'envoi avec SPF et DMARC
Le SPF nu v=spf1 -all déclare qu'aucune adresse IP n'est autorisée à envoyer pour le nom. DMARC complète cette déclaration par une politique de rejet pour le domaine et ses sous-domaines.
Publiez à l'apex :
example.com. IN TXT "v=spf1 -all"
Gardez cette valeur nue. N'ajoutez ni a, ni mx, ni include, ni plage IP. Chacun de ces mécanismes réintroduirait un émetteur autorisé. Le qualificateur -all est un échec ferme ; ~all exprimerait seulement un échec souple, inutile quand aucune source légitime ne doit être préservée. Le générateur SPF aide à relire la syntaxe, mais la valeur finale tient ici en deux éléments.
Publiez ensuite à _dmarc :
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; sp=reject; np=reject; adkim=s; aspf=s; rua=mailto:dmarc@captaindns.com"
p=reject couvre le domaine organisationnel. sp=reject applique le rejet aux sous-domaines existants, et np=reject aux sous-domaines inexistants lorsqu'un destinataire prend ce tag en charge. Les alignements stricts adkim=s et aspf=s conviennent : aucun flux légitime ne dépend d'un alignement relâché.
Le rapport rua change la note
Le tag rua n'est pas décoratif. Son absence change la note DMARC dans l'audit. Il sert à recevoir les rapports agrégés qui révèlent les sources présentant le nom, même si la politique les rejette.
L'adresse ne doit jamais appartenir au nom sans messagerie. rua=mailto:dmarc@example.com créerait une adresse orpheline : Null MX annonce que example.com ne reçoit rien. Utilisez une adresse sur un autre domaine qui reçoit réellement, comme dmarc@captaindns.com, ou un service d'ingestion DMARC. Le même principe vaut pour ruf si vous l'utilisez, et pour l'adresse iodef d'un CAA.
Les rapports externes peuvent demander une autorisation DNS supplémentaire au domaine destinataire, selon DMARC. Vérifiez cette délégation avec le fournisseur choisi. L'ingestion CaptainDNS à 5 € est un deuxième étage possible pour centraliser ces rapports ; ce n'est pas un prérequis pour lancer l'audit gratuit.
DKIM : ne publiez aucun sélecteur
Il n'existe pas d'enregistrement DKIM idéal à coller pour un nom qui n'envoie pas. La bonne configuration est l'absence de tout sélecteur sous _domainkey.
DKIM authentifie une signature portée par un message. Ici, aucun message légitime ne part. Publier une clé RSA ou Ed25519 « au cas où » créerait une surface de configuration sans usage. Publier une valeur vide serait pire, car sa signification est déjà définie.
La RFC 6376 décrit un tag p= vide comme la révocation d'une clé auparavant publiée. Le signataire qui connaît ce sélecteur veut que les signatures qui l'emploient échouent. La même RFC précise qu'un vérificateur ne donne pas de sens différent à une clé révoquée et à un enregistrement de clé supprimé : dans les deux cas, aucune validation DKIM ne réussit. La RFC 5863 présente cette valeur vide comme une pierre tombale utile lors du retrait d'un sélecteur, afin d'éviter sa réutilisation accidentelle.
Cela ne crée pas une politique générale « ce nom n'envoie pas ». Un wildcard *._domainkey avec un p= vide applique la sémantique de révocation à des noms de sélecteur qui n'ont jamais existé. M3AAWG a retiré cette ancienne recette de son BCP 2022 : aucun DKIM n'est nécessaire pour un domaine sans mail, et aucun ne devrait être publié.
Le comportement de CaptainDNS suit cette lecture. L'audit public laisse DKIM et BIMI à zéro, conserve leurs recommandations, puis affiche la mention suivante quand Null MX et le SPF nu sont présents : « Si ce domaine n'envoie pas, DKIM et BIMI ne sont pas nécessaires. La note ne change pas. » Ce texte explique le cas ; il ne maquille pas la note.
Dans la surveillance, la case « Ce domaine n'envoie pas » change la couche d'évaluation. DKIM et BIMI sortent alors de la note, et une alerte est émise si un vrai MX ou une clé DKIM apparaît. Les deux vues sont donc cohérentes : le public montre les recommandations générales et la note plafonnée ; la surveillance applique l'intention déclarée du domaine.
Aucune adresse orpheline dans la zone
Tout URI mailto: publié par un nom sans messagerie doit viser un autre domaine capable de recevoir. Cette règle couvre DMARC, les signalements CAA et toute adresse opérationnelle ajoutée plus tard.
Faites une recherche textuelle dans la zone exportée. Les emplacements classiques sont rua, ruf et iodef. Une adresse de contact dans un enregistrement TXT maison mérite le même contrôle. Si la partie droite après @ est le nom que Null MX vient de fermer, le rapport sera perdu.
Pour un site sans mail, ne confondez pas l'adresse visible sur une page web avec la messagerie du nom. Vous pouvez afficher une adresse portée par un autre domaine, ou un formulaire relié à un système externe. Le DNS du site reste sans messagerie. Pour un nom défensif sans site, aucune adresse locale n'a de raison d'exister.
Cette séparation évite une contradiction discrète : demander aux autorités de certification ou aux récepteurs DMARC d'envoyer un rapport vers une destination que le DNS déclare inexistante. La politique de sécurité aurait l'air complète dans un fichier de zone, mais personne ne lirait ses alertes.
Deux cas, un socle mail et deux politiques CAA
Le site HTTPS et le nom sans site partagent Null MX, SPF et DMARC. Leur différence porte sur A/AAAA et sur l'autorisation d'émettre un certificat.
| Élément | Site sans mail | Nom sans site |
|---|---|---|
| A / AAAA | Présents selon l'hébergement | Absents |
| MX | 0 . | 0 . |
| SPF | v=spf1 -all | v=spf1 -all |
| DMARC | p=reject; sp=reject; np=reject | p=reject; sp=reject; np=reject |
| DKIM | Aucun sélecteur | Aucun sélecteur |
| CAA | CA réellement utilisée, plus iodef externe | 0 issue ";" |
| Certificat | Autorisé et renouvelable | Interdit |
CAA pour le site HTTPS
Un site doit autoriser la CA qui émet réellement son certificat. Ajoutez aussi une destination iodef située sur un autre domaine récepteur. Une politique complète peut obtenir 100 pour le contrôle CAA du pilier DNS, sans que la note globale atteigne la bande supérieure à cause de DKIM.
example.com. IN CAA 0 issue "ca.example.com"
example.com. IN CAA 0 iodef "mailto:security@captaindns.com"
Adaptez l'identifiant à votre CA. Surtout, ne publiez pas issue ";" sur ce site : vous interdiriez l'émission et le prochain renouvellement pourrait échouer. Le guide CAA détaille l'héritage, issuewild et les paramètres ACME.
CAA pour le nom sans certificat
Un nom sans site, sans A/AAAA et sans certificat peut interdire toute CA :
example.com. IN CAA 0 issue ";"
Dans l'audit CaptainDNS, ce choix vaut 90 pour CAA, pas 100. Cette différence reflète l'absence de canal iodef, alors qu'un nom fermé ne doit pas publier de mailto: local. Une CA nommée n'est pas une variante interchangeable : elle rouvrirait l'émission de certificats.
DNSSEC protège aussi le site contre une panne silencieuse
DNSSEC signe les réponses DNS et permet au résolveur de détecter leur falsification. Une chaîne cassée rend le nom invalide pour les résolveurs validateurs, même si les enregistrements sont présents chez l'hébergeur.
Pour le site sans mail, c'est le seul élément de cette recette qui peut rendre le site web silencieusement inaccessible après une mauvaise rotation. Un DS obsolète chez le registrar, une KSK retirée trop tôt ou des signatures expirées entraînent souvent SERVFAIL. Le navigateur ne dira pas « DNSSEC cassé » ; il affichera seulement une erreur de résolution.
Déployez DNSSEC en vérifiant la chaîne entre la zone enfant et le parent. Lors d'un changement de fournisseur DNS, coordonnez les clés et le DS avant de retirer l'ancienne zone. Le guide d'activation DNSSEC couvre cette séquence.
Pour le nom sans site, une panne DNSSEC ne casse pas une page web inexistante, mais elle empêche les destinataires de lire Null MX, SPF et DMARC. La protection anti-usurpation dépend donc toujours d'une chaîne valide. Surveillez-la comme n'importe quel autre enregistrement de sécurité.
Ce que l'audit public montrera
L'audit public évalue trois piliers : envoi 50, réception 35 et DNS 15. Une zone sans messagerie bien réglée obtient Bon, généralement autour de 80-85 selon la présence de rua et DNSSEC.
La réception est pleine avec un unique Null MX. MTA-STS, DANE et TLS-RPT ne sont pas demandés puisque le nom ne reçoit aucun courrier. À l'inverse, MXCount == 0 est une erreur : le repli vers A reste possible et la fermeture n'est pas déclarée.
Côté envoi, le SPF strict et DMARC reject marquent clairement l'absence de source légitime. DKIM et BIMI restent néanmoins à zéro dans l'outil public, avec leurs recommandations. La mention affichée explique que ces mécanismes ne sont pas nécessaires si le domaine n'envoie pas et que la note ne change pas. Résultat : la bande supérieure, à partir de 90, reste inaccessible sans DKIM. C'est volontaire et visible.
Le pilier DNS dépend notamment de CAA et DNSSEC. Le site peut obtenir le contrôle CAA complet avec une CA autorisée et un iodef externe. Le nom sans certificat obtient 90 sur ce contrôle avec issue ";". Ces nombres sont des sous-scores de contrôles, pas une promesse de note globale.
La surveillance change uniquement l'intention mail
La case « Ce domaine n'envoie pas » est une fonction de surveillance. Elle retire DKIM et BIMI de la note surveillée et alerte si la zone recommence à accepter ou signer du courrier.
Elle ne fabrique pas une capture flatteuse dans l'audit public. Elle ne change ni le besoin de Null MX, ni SPF, ni DMARC, ni CAA, ni DNSSEC. Son intérêt est opérationnel : si un administrateur ajoute un vrai MX ou si un ancien sélecteur DKIM réapparaît, la surveillance signale que le contrat « sans messagerie » vient d'être rompu.
Le premier outil CaptainDNS est gratuit. Commencez par l'audit de la zone, corrigez les enregistrements, puis activez une surveillance si le nom mérite une alerte continue. Le monitor coûte 5 €. Les autres outils suivent la tarification du compte, 3 € puis 5 €, sans offre séparée dédiée à ce cas.
Divergences entre les recommandations publiées
Les guides disponibles en ligne ne donnent pas tous la même recette. Nous retenons les textes les plus récents et la sémantique des RFC, puis nous signalons les différences au lieu de les cacher.
GOV.UK recommande encore un wildcard _domainkey contenant un p= vide dans sa page mise à jour le 1er mars 2021. EasyDMARC et Mimecast reprennent aussi le BCP M3AAWG de 2015. Nous ne recopions pas cette valeur : M3AAWG l'a retirée dans son édition de juin 2022, tandis que les RFC la définissent comme la révocation d'une ancienne clé. L'absence de sélecteur est plus exacte et ne déclenche pas la recommandation critique dkim.empty_p_tag de notre propre audit.
La condition « Null MX seulement si un A ou AAAA existe » appartient à l'édition de décembre 2015 : « M3AAWG recommends the use of a null MX record only if the domain has an A and/or AAAA record », par compatibilité avec les récepteurs qui n'avaient pas encore implémenté la RFC. L'édition de juin 2022 a retiré cette restriction, et son exemple « Single Parked Domain », sans A ni AAAA, publie bien example.com. MX 0 .. Nous suivons le texte de 2022 et publions dans les deux cas : aucun MX signifie toujours « aucun MX », pas « refus explicite », et une future adresse A réactiverait le repli SMTP.
internet.nl recommande également Null MX pour un domaine sans serveur de messagerie et considère plusieurs tests mail comme non applicables pour ce profil. CaptainDNS conserve une lecture publique uniforme des trois piliers : la zone ressort Bon autour de 80-85, pas dans la bande supérieure. Les deux interfaces décrivent le même objectif avec des modèles de notation différents.
Ce que cet article n'est pas
Ce guide décrit une zone qui n'envoie et ne reçoit aucun courrier. Il ne remplace pas le générateur DMARC, qui compose une politique selon vos choix, ni l'audit, qui lit les réponses DNS réellement publiées.
Ce n'est pas non plus un guide d'expéditeur. Il ne couvre ni la rotation de clés, ni les sélecteurs de prestataires, ni la délivrabilité d'une campagne. Les articles consacrés à DKIM gardent ce rôle. Ici, ajouter une plateforme d'envoi change le besoin : le nom n'est plus sans messagerie et la recette doit être revue.
Le CAA n'est traité qu'au point de décision entre certificat autorisé et certificat interdit. Son héritage et ses variantes appartiennent au guide CAA. DNSSEC est limité au risque de chaîne cassée ; le tutoriel complet reste séparé. Enfin, la conservation et l'expiration des noms relèvent du cycle de vie d'un domaine, pas de la configuration mail.
Vérification finale de la zone
Une zone cohérente se contrôle depuis l'extérieur, après propagation. Vérifiez qu'un seul MX 0 . est visible, que SPF ne contient que v=spf1 -all et que _dmarc publie le rejet attendu.
Cherchez ensuite tout nom sous _domainkey : il ne doit rien rester, sauf une clé ancienne en cours de retrait selon un plan daté. Contrôlez que chaque mailto: vise un autre domaine récepteur. Terminez par CAA, DNSSEC et les éventuels A/AAAA.
Relancez l'audit après le TTL. Attendez-vous à Bon et lisez les recommandations encore affichées pour DKIM et BIMI à la lumière de cette mention. Si vous activez la surveillance « Ce domaine n'envoie pas », testez aussi l'alerte lors d'une modification planifiée, puis remettez la zone de référence.
FAQ
Quelle différence entre Null MX et aucun MX ?
Null MX publie un MX explicite de priorité 0 avec la cible .. Sans MX, un expéditeur SMTP peut se rabattre sur A ou AAAA ; les deux configurations ne sont donc pas équivalentes.
Faut-il publier un DKIM ?
Non. Ne publiez aucun sélecteur sous _domainkey. Un p= vide sert seulement à retirer une ancienne clé ; ce n'est pas un modèle pour déclarer qu'un nom n'envoie pas.
Pourquoi garder un rua si le nom n'envoie pas ?
Les rapports agrégés révèlent les sources qui tentent d'utiliser le nom, et l'absence du tag rua change la note DMARC. Envoyez-les vers une adresse portée par un autre domaine qui reçoit réellement.
Null MX suffit-il à empêcher l'usurpation ?
Non. Null MX ferme la réception. SPF v=spf1 -all et DMARC p=reject traitent l'envoi usurpé ; chaque mécanisme répond à une direction différente.
Quel CAA publier pour un site sans mail ?
Autorisez la CA qui émet le certificat du site et ajoutez un iodef externe si possible. Ne publiez jamais issue ";" sur ce site, car le renouvellement du certificat serait bloqué.
Quel CAA publier pour un nom sans site ?
Publiez 0 issue ";" si aucun certificat ne doit être émis. Dans l'audit CaptainDNS, ce choix vaut 90 pour le contrôle CAA, et non 100.
Pourquoi la note publique reste-t-elle Bon ?
L'audit public conserve DKIM et BIMI à zéro avec leurs recommandations, même si une mention explique qu'ils sont inutiles ici. La surveillance cochée les retire de sa note, mais ne modifie pas l'audit public.
