Implémentation de DMARC (Domain-based Message Authentication, Reporting and Conformance)

SPF vérifie si le serveur d'envoi est autorisé à envoyer des e-mails au nom d'un domaine. DKIM utilise des signatures numériques pour confirmer que le contenu d'un e-mail n'a pas été modifié pendant l'envoi. DMARC combine les deux en vérifiant l'« alignement » entre l'adresse From visible et l'expéditeur techniquement vérifié.

Étapes

1. Vérifiez votre configuration SPF et DKIM actuelle

Avant d'implémenter DMARC, vous devez vous assurer que SPF et DKIM fonctionnent correctement. Vérifiez votre enregistrement SPF :

dig TXT votredomaine.be | grep "v=spf1"

Un enregistrement SPF valide ressemble à ceci : v=spf1 mx ip4:192.0.2.1 include:_spf.google.com ~all

Vérifiez votre enregistrement DKIM (le nom du sélecteur dépend de la configuration de votre serveur de messagerie) : dig TXT selector1._domainkey.votredomaine.be

2. Commencez par un enregistrement DMARC avec la politique « none »

Commencez toujours avec la politique `none` pour surveiller le trafic de messagerie qui passe par votre domaine. Cela évite que des e-mails légitimes soient rejetés pendant la phase de test. Publiez l'enregistrement suivant dans votre zone DNS :

_dmarc.votredomaine.be.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.be; ruf=mailto:dmarc@votredomaine.be; fo=1; adkim=r; aspf=r; pct=100"

Explication des balises :

• `v=DMARC1` — la version de DMARC
• `p=none` — aucune action en cas d'échec des e-mails (mode de surveillance)
• `rua=mailto:dmarc@votredomaine.be` — réception des rapports agrégés
• `ruf=mailto:dmarc@votredomaine.be` — réception des rapports médico-légaux
• `fo=1` — génère des rapports médico-légaux en cas d'échec SPF ou DKIM
• `adkim=r` — alignement DKIM relâché (le domaine peut être un sous-domaine)
• `aspf=r` — alignement SPF relâché
• `pct=100` — applique la politique à 100 % des e-mails

3. Vérifiez que votre enregistrement DMARC est correctement publié

Attendez que la modification DNS soit propagée (généralement 5 à 30 minutes, selon votre TTL), puis vérifiez :

dig TXT _dmarc.votredomaine.be

Le résultat doit contenir l'enregistrement TXT que vous avez publié.

4. Analysez les rapports DMARC

Laissez l'enregistrement DMARC avec la politique `none` pendant au moins 2 à 4 semaines. Pendant cette période, vous recevrez des rapports agrégés à l'adresse `rua`. Ces rapports contiennent des données XML avec des informations sur :

• Combien d'e-mails ont été envoyés au nom de votre domaine
• Quelles adresses IP ont envoyé ces e-mails
• Si ces e-mails ont réussi les vérifications SPF et DKIM
• Quels étaient les résultats d'alignement

Vous pouvez analyser ces rapports manuellement ou utiliser des outils comme `opendmarc` (OpenDMARC) sur votre serveur :

sudo apt install opendmarc

5. Affinez votre configuration SPF et DKIM sur base des rapports

Analysez les rapports et identifiez :

• Les serveurs de messagerie légitimes qui ne figurent pas dans votre enregistrement SPF — ajoutez-les
• Les serveurs qui n'utilisent pas correctement DKIM — reconfigurez-les
• Les adresses IP inconnues qui envoient des e-mails au nom de votre domaine — bloquez-les

Mettez à jour votre enregistrement SPF avec les bonnes adresses IP : v=spf1 mx ip4:192.0.2.1 ip4:192.0.2.2 include:_spf.google.com ~all

6. Augmentez la politique à « quarantine »

Lorsque vous êtes certain que tout votre trafic de messagerie légitime réussit les vérifications SPF et DKIM, augmentez la politique à `quarantine`. Cela place les e-mails suspects dans le dossier spam au lieu de les refuser directement :

_dmarc.votredomaine.be.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@votredomaine.be; ruf=mailto:dmarc@votredomaine.be; fo=1; adkim=r; aspf=r; pct=100"

7. Passez à la politique « reject »

Après une nouvelle période de test de 2 à 4 semaines avec la politique `quarantine`, sans qu'aucun e-mail légitime n'aboutisse dans le spam, vous pouvez passer à la politique la plus stricte : `reject`. Cela refuse les e-mails qui ne réussissent pas l'authentification :

_dmarc.votredomaine.be.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@votredomaine.be; ruf=mailto:dmarc@votredomaine.be; fo=1; adkim=r; aspf=r; pct=100"

8. Configurez un processeur DMARC pour l'analyse automatique

Pour le traitement automatisé des rapports DMARC, vous pouvez configurer OpenDMARC sur votre serveur de messagerie. Installez-le et configurez-le :

sudo apt install opendmarc
   sudo systemctl enable opendmarc
   sudo systemctl start opendmarc

Configurez l'adresse de rapport dans `/etc/opendmarc.conf` :

AuthservID votredomaine.be
   RejectFailures false

Vérification

Vérifiez que votre configuration DMARC fonctionne correctement avec ces commandes :

<h2>Vérifiez votre enregistrement DMARC</h2>
dig TXT _dmarc.jouwdomein.nl
<h2>Vérifiez si votre serveur mail traite correctement DMARC</h2>
dig TXT _dmarc.jouwdomein.nl | grep "v=DMARC1"
<h2>Testez l'authentification d'un e-mail (remplacez /var/log/mail.log par votre fichier journal)</h2>
grep "dmarc" /var/log/mail.log | tail -20

Un enregistrement DMARC correctement configuré affiche la politique que vous avez définie. Dans le journal mail, vous voyez des lignes comme :

dmarc=fail (p=reject) header.from=example.com
dmarc=pass header.from=example.com

Problèmes fréquents

1. Des e-mails légitimes arrivent dans les indésirables après avoir renforcé la politique

Cela signifie que certains de vos serveurs mail ne sont pas correctement configurés pour SPF ou DKIM. Remettez la politique sur `none`, analysez les rapports et identifiez les serveurs qui échouent. Vérifiez que toutes les adresses IP figurent dans votre enregistrement SPF et que DKIM est actif sur tous les serveurs.

2. Les rapports DMARC n'arrivent pas à l'adresse `rua`

Vérifiez que l'adresse mail que vous avez indiquée dans l'attribut `rua` est valide et que votre serveur mail accepte les e-mails de tiers. Certains fournisseurs de messagerie bloquent les rapports automatiques. Utilisez une adresse mail distincte pour les rapports DMARC et vérifiez votre filtre anti-indésirables.

3. `dig` n'affiche aucun enregistrement DMARC

Cela peut avoir deux causes : la mise en cache DNS retarde la visibilité de votre nouvel enregistrement, ou l'enregistrement n'est pas publié correctement. Vérifiez que vous avez placé l'enregistrement sur le bon nom d'hôte (`_dmarc.jouwdomein.nl`) et que votre fournisseur DNS prend correctement en charge les enregistrements TXT avec des caractères spéciaux. Attendez quelques heures et réessayez avec :

dig TXT _dmarc.jouwdomein.nl +trace

Contexte et développement

DMARC n'est pas un nouveau protocole développé de zéro. Il s'appuie sur SPF et DKIM, qui avaient tous deux leurs limites. SPF ne vérifie que l'expéditeur technique, pas l'adresse From visible. DKIM confirme l'intégrité du contenu, mais ne dit rien sur l'identité de l'expéditeur. DMARC comble cette lacune en contrôlant l'alignement entre les deux.

Le développement de DMARC a commencé en 2010, lorsqu'un groupe d'organisations technologiques et financières a collaboré à une norme d'authentification des e-mails. PayPal, Google, Microsoft et Yahoo ont participé à cette collaboration. Ils étaient tous confrontés à la fraude massive par e-mail et voyaient les limites des protocoles existants. Le résultat a été une approche commune nommée DMARC.

La première spécification officielle est parue le 30 janvier 2012. Le 31 mars 2013, la spécification a été soumise comme Internet Draft à l'IETF (Internet Engineering Task Force). Le 2 avril 2014, le projet a été transféré vers la piste Independent Submissions au sein de l'IETF. La publication finale comme RFC 7489 a suivi en mars 2015.

DMARC.org sert de point d'information central pour le protocole. Le gouvernement néerlandais, via le Rijksdienst voor Ondernemend Nederland (RVO), recommande DMARC comme bonne pratique pour la sécurité des e-mails. Le protocole est désormais un élément standard d'une stratégie robuste de sécurité des e-mails. L'adoption croît dans le monde entier, mais le niveau de mise en œuvre varie fortement selon les secteurs et les régions. La question n'est plus de savoir si vous devez implémenter DMARC, mais quand vous oserez passer à la politique `reject`.