Lecteur de rapports DMARC : chargez vos rapports agrégés et voyez qui envoie en votre nom

Comment l'utiliser

• Enregistrez les pièces jointes (.zip, .gz ou .xml) des e-mails reçus à l'adresse indiquée dans la balise rua= de votre enregistrement DMARC. Google envoie des .zip ; la plupart des autres messageries envoient des .gz.
• Glissez-déposez les fichiers dans le cadre ci-dessus ou cliquez sur « Choisir des fichiers ». Inutile de les décompresser, et vous pouvez charger de nombreux rapports à la fois (jusqu'à 20 Mo au total).
• Pour voir d'abord à quoi ressemble le résultat, cliquez sur « Essayer un rapport d'exemple ».

Qu'est-ce qu'un rapport agrégé DMARC ?

DMARC permet aux serveurs de réception de vérifier, grâce à SPF et DKIM, que les e-mails dont l'adresse d'expéditeur (From) utilise votre domaine viennent bien de vous. Si votre enregistrement DMARC contient rua=mailto:…, des messageries comme Gmail et Yahoo vous envoient un résumé des e-mails reçus de votre domaine : depuis quelles adresses IP, combien de messages et avec quel résultat d'authentification. Ces rapports agrégés (RUA) arrivent en général une fois par jour, au format XML défini par la RFC 7489.

On y trouve les services que vous utilisez, mais aussi les e-mails qui usurpent votre domaine. Corrigez d'abord les expéditeurs légitimes en échec : une politique plus stricte ne bloquera alors que l'usurpation.

Comment lire les résultats

• DMARC réussi : SPF ou DKIM a réussi avec un domaine aligné sur votre domaine From.
• SPF aligné : la part où l'IP d'envoi est autorisée par SPF et où le domaine de l'expéditeur d'enveloppe est aligné sur votre domaine From.
• DKIM aligné : la part signée en DKIM au nom de votre domaine (ou d'un sous-domaine) et vérifiée.
• Expéditeur : identifié grâce aux domaines de signature DKIM, aux plages d'IP d'envoi que les fournisseurs publient dans leur enregistrement SPF et aux domaines SPF. Pour les fournisseurs qui ne publient pas de plages d'envoi, l'expéditeur est indiqué comme estimé à partir du réseau du fournisseur.
• Avec des services d'envoi comme Amazon SES, SendGrid ou Mailchimp, l'expéditeur d'enveloppe est le domaine du service : SPF n'est donc normalement pas aligné. Ce n'est pas un problème tant que DKIM est aligné sur votre domaine.

Causes d'échec fréquentes et solutions

• Absent du SPF : ajoutez la valeur du service à votre enregistrement SPF, par exemple include:_spf.google.com pour Google Workspace ou include:spf.protection.outlook.com pour Microsoft 365. Gardez un seul enregistrement SPF par domaine.
• Pas de DKIM : activez la signature DKIM de votre domaine dans les réglages du service et publiez dans le DNS la clé publique qu'il affiche.
• DKIM signé au nom du service : configurez l'authentification de domaine dans le service d'envoi pour qu'il signe au nom de votre domaine.
• Transferts et listes de diffusion : un transfert casse souvent SPF, et une modification de l'objet ou du contenu casse DKIM. Quelques échecs de ce type sont normaux.
• Expéditeurs inconnus : ils usurpent peut-être votre domaine. Quand tous vos expéditeurs légitimes réussissent, passer à p=quarantine puis à p=reject tient ces e-mails à l'écart des boîtes de réception.

Ce que contiennent les fichiers

Les rapports agrégés contiennent les adresses IP d'envoi, le nombre de messages et les résultats d'authentification, mais ni le contenu des e-mails ni les destinataires. Cet outil décompresse et lit les fichiers uniquement dans votre navigateur et n'envoie rien à un serveur. Les résultats disparaissent quand vous fermez la page.