Vérifier un enregistrement DMARC, ou en construire un
Un enregistrement DMARC tient sur une ligne, avec jusqu’à onze réglages, dont deux décident s’il sert à quelque chose. Cette page les traduit en mots simples, puis vérifie la seule chose qui empêche silencieusement vos rapports d’arriver.
- S’exécute dans votre navigateur, pas sur notre serveur
- Sans inscription
- Sans filigrane
Chargement de l’outil…
Comment ça marche
- Saisissez votre domaine et appuyez sur « Check » (vérifier).
- Lisez les réglages et les constats : p= (la politique) est ce sur quoi les destinataires agissent, et pct= limite la part de votre courrier concernée.
- Si vos rapports partent vers une adresse chez une autre société, regardez le bloc d’autorisation : sans cet enregistrement, aucun rapport n’arrivera jamais.
Pourquoi rien n’est envoyé
Toutes les opérations de cette page sont effectuées par du code qui tourne dans l’onglet de votre navigateur, avec le moteur qui affiche les pages web. Le fichier est lu depuis le disque vers la mémoire de l’onglet, transformé sur place, puis réécrit sous forme de téléchargement. Il n’est jamais envoyé où que ce soit — ni à nous, ni à un tiers.
Vérifiez-le vous-même
- Ouvrez les outils de développement de votre navigateur (F12) et choisissez l’onglet « Réseau ».
- Chargez votre fichier et lancez l’outil.
- Les seules requêtes que vous verrez téléchargent le code de l’outil lui-même — et, pour quelques outils lourds, leur moteur open source depuis un CDN public — plus un petit signal de visite vers loreatec.jp (adresse et titre de la page, rien de plus). Aucune ne transporte votre fichier.
Questions fréquentes
J’ai configuré le DMARC et aucun rapport n’est jamais arrivé. Pourquoi ?
Si l’adresse de rapport (rua) est sur un autre domaine que le vôtre — un prestataire d’analyse, votre agence, une boîte personnelle —, ce domaine doit publier un enregistrement disant qu’il accepte des rapports pour vous : votredomaine._report._dmarc.leurdomaine avec la valeur v=DMARC1. Les destinataires le vérifient avant d’envoyer, et n’envoient rien du tout, en silence, quand il manque. Cette page le contrôle pour vous. L’autre cause fréquente est tout simplement un « mailto: » oublié devant l’adresse.
Que changent réellement adkim et aspf ?
Ils fixent à quel point le domaine qui a passé le SPF ou le DKIM doit correspondre à l’adresse From que les gens voient. Relaxed (souple, la valeur par défaut) accepte n’importe quel sous-domaine de la même organisation : mail.example.com vaut pour example.com. Strict exige une correspondance exacte. Relaxed convient à presque tout le monde ; strict s’adresse aux organisations qui maîtrisent chaque sous-domaine et veulent empêcher qu’un sous-domaine compromis serve à envoyer.
p=none ne sert-il à rien ?
C’est une première étape indispensable et une mauvaise dernière étape. Avec p=none, rien ne change pour votre courrier, mais vous recevez les rapports — exactement ce qu’il faut pendant les quelques semaines nécessaires pour retrouver tous les expéditeurs légitimes. Laissé sur none pendant des années, il ne protège rien : n’importe qui peut toujours envoyer au nom de votre domaine, et vous avez désormais un enregistrement qui dit que vous le savez.
À quoi sert sp= ?
À définir une politique distincte pour les sous-domaines. Sans lui, les sous-domaines héritent de p=. C’est utile parce que les attaquants se servent de sous-domaines qui n’ont jamais été prévus pour envoyer quoi que ce soit — facture.votredomaine.com — et où passer sp=reject ne casse rien, même si le domaine principal est encore en none.
Et pct ?
Il n’applique la politique qu’à un pourcentage du courrier en échec : vous pouvez passer en quarantine à 10 % et observer. C’est une rampe, pas une destination — à pct=50 avec p=reject, la moitié des faux passent encore.