Une nouvelle norme, pas un remplacement immédiat
Publié en mai 2026, le RFC 9989 remplace la précédente spécification DMARC. Il supprime notamment le paramètre de pourcentage pct.
Pour une entreprise, il faut d’abord vérifier le registre existant : quelle politique figure dans le DNS, quelles hypothèses guident l’exploitation et qui peut autoriser une modification ? La date de publication ne prouve pas que chaque fournisseur utilise déjà cette version. Demandez confirmation pour vos systèmes réels, avant de remplacer des enregistrements qui fonctionnent. [1]
La boîte principale ne représente pas tous les envois
Ajoutez les formulaires du site, la facturation, le support et les newsletters à l’inventaire des boîtes classiques. Pour chaque circuit, notez le responsable, l’adresse affichée, le service et un message contrôlé. Un essai depuis le webmail ne valide pas l’envoi depuis le site.
Posez une question précise : le logiciel de facturation peut-il envoyer avec le domaine prévu, et le message reçu le confirme-t-il ? Conservez les en-têtes pertinents avec la date. Les identifiants et le contenu des messages n’ont pas leur place dans un inventaire DNS largement accessible.
DMARC réussit si au moins l’un des deux mécanismes, SPF ou DKIM, réussit et que son domaine est aligné sur le domaine From visible selon le mode choisi. [1]
Circuit d’envoi
Recenser la messagerie, le site, le CRM ou la facturation et leur responsable.
Authentification
Examiner les résultats SPF et DKIM d’un message réellement reçu.
Alignement
Comparer les domaines authentifiés au domaine From visible.
Une preuve par circuit
Consigner le résultat, la date et la correction nécessaire. L’autorisation du domaine ne prouve pas la fiabilité du contenu.
Parcours de vérification schématique. Examinez séparément les mécanismes d’authentification et leur lien avec le domaine From visible.
Revoir les anciens plans de déploiement
Examinez les procédures fondées uniquement sur pct=10 ou pct=25. Ce mécanisme figurait dans l’ancienne spécification ; une procédure historique ne démontre pas le comportement de tous les destinataires actuels.
Délimitez les circuits concernés, désignez un responsable et notez la configuration à rétablir en cas d’échec. Confirmez la prise en charge auprès du fournisseur. Il n’est pas nécessaire d’affaiblir préventivement une politique déjà éprouvée pour effectuer ce contrôle. [5]
Faites défiler le tableau horizontalement.
| Domaine | Preuve attendue | Décision |
|---|---|---|
| Envois | Chaque service autorisé possède un responsable. | Clarifier d’abord les sources inconnues. |
| Politique | La valeur actuelle et celle du retour arrière sont consignées. | Autoriser une modification traçable. |
| Compatibilité | Le fournisseur confirme le fonctionnement de l’environnement. | Ne pas présumer une adoption universelle. |
| Validation | Chaque circuit prévu a été contrôlé. | Passer ensuite au périmètre suivant. |
Transformer les rapports en actions
Les rapports DMARC agrégés décrivent les sources d’envoi observées et les résultats d’authentification. Les rapports d’échec constituent un autre type et peuvent contenir davantage de données du message.
Notre recommandation : pour chaque circuit inattendu, préciser s’il correspond à un service autorisé, qui le vérifiera et à quelle date. Une source inconnue appelle d’abord une investigation. Un rapport sans anomalie ne remplace pas non plus l’inventaire interne. Définissez les droits d’accès et la durée de conservation des fichiers. [2] [3]
Distinguer les règles du fournisseur
Gmail distingue les expéditeurs ordinaires des expéditeurs en masse. Pour ces derniers, Google exige SPF, DKIM et DMARC et accepte, à ce titre, une politique DMARC none.
Ce minimum ne détermine pas la politique adaptée à votre domaine. Séparez donc deux objectifs : respecter les exigences du destinataire et fiabiliser l’inventaire des envois autorisés. La réception effective et le classement en spam restent des observations distinctes. [4]
Par quoi commencer
Choisissez un circuit important, comme les devis ou les factures. Cette liste permet une intervention vérifiable sans modifier toute la messagerie simultanément.
- Sauvegarder l’enregistrement DMARC et la procédure actuelle.
- Recenser les services d’envoi actifs et leurs responsables.
- Examiner un message de test autorisé par circuit pertinent.
- Clarifier les anciens déploiements en pourcentage et la compatibilité.
- Fixer la fenêtre de changement, les critères de validation et le retour arrière.
- Après modification, examiner conjointement rapports et réception réelle.