DMARC

DMARC indique aux serveurs destinataires quoi faire lorsqu’un message prétendant venir de votre domaine échoue à l’alignement SPF et DKIM, et où envoyer les rapports. Gmail et Yahoo l’exigent de toute personne qui envoie en volume, et il protège votre domaine de l’usurpation.

SpacePost renvoie un enregistrement de départ recommandé avec chaque domaine :

Type	Nom	Valeur
TXT	`_dmarc`	`v=DMARC1; p=none;`

Il n’est pas nécessaire à la vérification, mais ajoutez-le.

Comment fonctionne l’alignement avec SpacePost

DKIM : les messages sont signés avec d=acme.com via vos trois CNAME Easy DKIM. Cela s’aligne sur From: hello@acme.com.
SPF : l’expéditeur de l’enveloppe (return path) est send.acme.com, un sous-domaine de votre domaine From ; SPF s’aligne donc en mode relaxed. C’est pourquoi les enregistrements MX et TXT de send comptent.

Il suffit que l’un des deux s’aligne pour que DMARC réussisse ; avoir les deux est le plus robuste.

Politiques

Politique	Effet	Quand
`p=none`	Surveillance uniquement. Rien n’est bloqué.	Commencez ici.
`p=quarantine`	Les messages en échec vont dans les spams.	Une fois les rapports propres pendant quelques semaines.
`p=reject`	Les messages en échec sont rejetés.	Protection complète.

Une progression typique avec rapports :

v=DMARC1; p=none; rua=mailto:dmarc@acme.com; fo=1;
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@acme.com;
v=DMARC1; p=reject; rua=mailto:dmarc@acme.com;

rua est l’adresse où arrivent les rapports XML agrégés. Utilisez un service de rapports DMARC pour les lire.

Sous-domaines

Un enregistrement _dmarc sur acme.com couvre aussi les sous-domaines, sauf si vous ajoutez sp=. Si vous envoyez depuis mail.acme.com, vous pouvez publier un enregistrement _dmarc.mail distinct.