Inspecteur d'enregistrement DMARC

Bien utiliser l'inspecteur DMARC

Vérifiez la politique que les destinataires lisent réellement avant de durcir l'application. L'outil interroge _dmarc.<domaine>, interprète chaque balise et met en avant les alertes remontées par l'API.

Préparez le domaine

Saisissez le domaine organisationnel exactement comme il apparaît dans les adresses e-mail. L'inspecteur ajoute automatiquement _dmarc, suit les éventuels CNAME et collecte toutes les réponses TXT.

Lisez les badges

Chaque politique reçoit un badge indiquant le statut, les modes d'alignement, le pourcentage appliqué et les adresses rua/ruf. Les erreurs signifient que la politique est ignorée, les avertissements pointent des réglages risqués.

Comparez les réponses

Résolveur, latence et éventuel point DoH vous permettent de confirmer la propagation ou d'identifier un problème DNS local. Conservez les captures avant/après pour documenter vos changements.

Après la vérification

Archivez l'analyse avec votre journal de modifications. Complétez-la avec le validateur de syntaxe DMARC, les inspecteurs SPF et DKIM pour valider l'ensemble de la chaîne d'authentification avant d'activer le rejet.

Pourquoi utiliser cet inspecteur DMARC ?

Vérifiez avant envoi que votre enregistrement DMARC est lisible et exploitable.
L'outil interroge _dmarc.domaine, lit le TXT retourné, met en lumière les tags manquants ou invalides et explique l'effet réel de la politique. Vous gagnez du temps et évitez les itérations pendant une mise en production.

DMARC en bref

DMARC relie les résultats SPF et DKIM au domaine visible dans From. Si SPF ou DKIM passe et qu'il est aligné avec From, le message est conforme. Le tag p= indique quoi faire sinon observation, quarantaine ou rejet. Les tags rua et ruf envoient des rapports pour piloter la montée en rigueur.

Mode d'emploi

Saisissez le domaine à tester.
Cliquez Inspecter le DMARC.
Lisez le résumé et les sections détaillées. Les erreurs bloquent l'application. Les avertissements pointent des risques ou des pratiques à améliorer.
Publiez une version corrigée puis relancez un contrôle.

Ce que l'inspecteur vérifie

TXT DMARC

Existence d'un seul enregistrement TXT sur _dmarc.domaine.
Présence et ordre des tags essentiels v=DMARC1 et p=.
Absence de CNAME. DMARC doit être un TXT direct.
Taille raisonnable et TTL lisible.

Politique et sous-domaines

p= none, quarantine ou reject et impact opérationnel.
sp= si présent, politique appliquée aux sous-domaines sinon héritage de p.
pct= pourcentage d'application de la politique.

Alignements

adkim= et aspf= en r pour relaxed par défaut ou s pour strict.
Explication de l'alignement avec From pour SPF et DKIM.

Rapports

rua= adresses mailto: valides, multiples autorisées séparées par virgules.
ruf= optionnel, rarement distribué par les opérateurs.
Détection d'adresses externes et rappel de l'autorisation requise via _report._dmarc sur le domaine destinataire.
ri= intervalle des rapports agrégés.

Options d'échec

fo= 0 par défaut, variantes 1, d, s expliquées et usage recommandé.

Erreurs fréquentes

Deux enregistrements DMARC sur le même nom.
rua ou ruf sans préfixe mailto:.
Politique p=none laissée en production trop longtemps.
Alignement strict activé alors que des flux légitimes ne sont pas prêts.
Adresse de rapport externe sans autorisation _report._dmarc.
Confusion entre pct application et ri fréquence des rapports.

Bonnes pratiques

Commencer en p=none avec rua actif pour observer.
Passer en p=quarantine avec pct progressif puis en p=reject une fois les faux positifs éliminés.
Garder adkim et aspf en r au début, envisager s quand tout est stabilisé.
Définir sp si vos sous-domaines envoient différemment.
Tenir un journal de changements date, valeur précédente et nouvelle, raison, TTL.

Dépannage rapide

Pas d'enregistrement sur _dmarc.domaine publier un TXT minimal avec v et p.
Aucun rapport reçu vérifier rua, l'autorisation si externe et les filtres côté boîte.
Rejets inattendus baisser pct ou revenir temporairement en p=quarantine, corriger l'alignement des flux, réessayer.
Différences selon régions tenir compte du TTL et des caches.