DMARC obligatoire : qui est concerné et comment se mettre en conformité
Pendant vingt ans, l'authentification des e-mails est restée une bonne pratique optionnelle : on la recommandait, peu de monde l'appliquait, et les messages passaient quand même. Ce n'est plus le cas. Depuis 2024 pour Google et Yahoo, puis 2025 pour Microsoft, les grands fournisseurs de messagerie imposent SPF, DKIM et DMARC aux expéditeurs qui dépassent un certain volume — et l'application s'est durcie depuis.
Le changement de fond est là : ce n'est plus une affaire de classement en spam, mais de refus pur et simple. Un message non conforme peut être rejeté par le serveur destinataire avec une erreur permanente, sans jamais atteindre le dossier indésirables où l'utilisateur aurait pu le retrouver. Pour une entreprise qui envoie des factures, des confirmations de commande ou des relances, l'impact est immédiat et souvent invisible jusqu'à ce qu'un client se plaigne de n'avoir rien reçu.
Qui est concerné exactement
Le critère principal est le volume. Google classe comme « expéditeur en volume » tout domaine envoyant 5 000 messages ou plus par jour vers des adresses Gmail — et cette classification est durable : une fois franchi le seuil, elle ne disparaît pas si votre volume redescend ensuite. Yahoo applique des exigences équivalentes, et Microsoft a aligné sa politique sur ses propres critères de volume.
Attention à une lecture trop rapide de ce seuil. Il s'agit de messages envoyés depuis votre domaine vers un fournisseur donné, tous outils confondus : votre messagerie professionnelle, votre plateforme de newsletter, les notifications automatiques de votre site, votre CRM, votre outil de facturation. Une PME qui s'estime « largement en dessous » atteint le seuil plus vite qu'elle ne le croit lors d'une campagne ou d'un pic de commandes.
Et pour ceux qui restent durablement sous le seuil ? Les exigences formelles ne s'appliquent pas, mais les mêmes signaux entrent dans le calcul de la réputation. Un domaine sans DMARC est traité avec plus de méfiance, ce qui se traduit par un placement en indésirables plus fréquent. Autrement dit, l'authentification n'est obligatoire que pour certains, mais elle est devenue payante pour tout le monde.
Ce qui est exigé, point par point
Quatre exigences reviennent chez tous les fournisseurs. Un : SPF et DKIM configurés et valides pour votre domaine d'envoi. Deux : un enregistrement DMARC publié, avec au minimum p=none — c'est le plancher, pas l'objectif. Trois : l'alignement, c'est-à-dire que le domaine affiché dans le champ « De » doit correspondre au domaine validé par SPF ou par DKIM ; c'est le point le plus souvent raté quand on passe par un prestataire d'envoi mal configuré.
Quatre : côté pratiques d'envoi, un lien de désinscription en un clic pour les messages commerciaux, et un taux de plainte pour spam maintenu sous 0,3 %. Ce dernier seuil est un plafond strict : le dépasser dégrade la délivrabilité de l'ensemble de vos envois, y compris vos e-mails transactionnels.
S'ajoute une exigence technique de base souvent oubliée : le serveur d'envoi doit disposer d'un enregistrement DNS inverse (PTR) cohérent, et la connexion doit être chiffrée en TLS. Ces points sont généralement pris en charge par votre prestataire — encore faut-il le vérifier.
Les conséquences d’un envoi non conforme
L'application s'est faite en deux temps. D'abord un rejet temporaire, qui laissait une marge de manœuvre, puis un rejet permanent : le serveur destinataire refuse le message avec une erreur définitive de la famille 550 5.7.x. Le message n'arrive ni en boîte de réception ni en indésirables — il n'arrive nulle part.
La différence de traitement entre expéditeurs conformes et non conformes est aujourd'hui considérable, avec un rapport de plusieurs fois sur la part de messages écartés. Pour un e-commerce, cela signifie des confirmations de commande jamais lues, des réinitialisations de mot de passe qui n'arrivent pas, et un service client qui absorbe le contrecoup sans comprendre l'origine.
Le symptôme typique n'est pas une panne franche mais une érosion silencieuse : « nos e-mails passent moins bien depuis quelques mois ». Si vous constatez cela, l'authentification est le premier endroit où regarder, avant le contenu et les objets de vos messages.
550 5.7.515 Access denied, sending domain [votre-entreprise.fr]
does not meet the required authentication levelLa mise en conformité en quatre étapes
Étape 1 : recensez toutes vos sources d'envoi. C'est le travail le plus long et le plus important — messagerie professionnelle, plateforme d'e-mailing, formulaires du site, CRM, outil de facturation, logiciel de caisse, service de support. Chaque source oubliée deviendra un envoi bloqué quand vous durcirez la politique.
Étape 2 : publiez un enregistrement SPF unique listant ces sources, et activez DKIM chez chacune d'entre elles. Un seul enregistrement SPF par domaine — en publier deux invalide les deux — et restez sous la limite de dix résolutions DNS, vite atteinte quand on empile les include.
Étape 3 : publiez DMARC en p=none avec une adresse de rapports agrégés (rua), et laissez tourner deux à quatre semaines. Les rapports vous montreront précisément qui envoie en votre nom, ce qui passe et ce qui échoue — y compris des outils dont vous aviez oublié l'existence. Corrigez SPF et DKIM jusqu'à ce que toutes les sources légitimes soient alignées.
Étape 4 : durcissez progressivement. Passez à p=quarantine, surveillez une à deux semaines, puis à p=reject. Vous êtes alors non seulement conforme aux exigences des fournisseurs, mais réellement protégé contre l'usurpation de votre domaine — ce qui était l'objectif de départ.
_dmarc.votre-entreprise.fr. TXT "v=DMARC1; p=none; rua=mailto:rapports@votre-entreprise.fr; ruf=mailto:rapports@votre-entreprise.fr; fo=1; adkim=r; aspf=r"_dmarc.votre-entreprise.fr. TXT "v=DMARC1; p=reject; rua=mailto:rapports@votre-entreprise.fr; pct=100; adkim=s; aspf=s"[ FAQ // QUESTIONS FRÉQUENTES ]
▸J’envoie peu d’e-mails, suis-je vraiment concerné ?
Les exigences formelles visent les expéditeurs dépassant environ 5 000 messages par jour vers un même fournisseur. En dessous, vous n'êtes pas soumis aux mêmes contrôles, mais l'absence d'authentification pèse quand même sur votre réputation d'expéditeur et augmente le risque de classement en indésirables. Le coût de la mise en conformité étant faible, l'arbitrage penche nettement du même côté.
▸p=none suffit-il pour être conforme ?
Pour cocher la case exigée par les fournisseurs, oui : un enregistrement DMARC valide, même en p=none, satisfait l'exigence. Mais p=none ne bloque rien : votre domaine reste utilisable pour du phishing à votre nom. C'est un point de départ destiné à l'observation, pas une destination.
▸Mon prestataire d’e-mailing gère-t-il tout à ma place ?
Partiellement. Il fournit généralement la signature DKIM et les valeurs à inclure dans votre SPF, mais c'est vous qui devez publier ces enregistrements dans le DNS de votre domaine, et lui seul ne couvre pas vos autres sources d'envoi — messagerie, site, CRM, facturation. L'enregistrement DMARC, lui, est toujours de votre ressort.
▸Comment vérifier ma configuration actuelle ?
Vos enregistrements SPF, DMARC et CAA sont publics : n'importe qui peut les lire, y compris un attaquant qui cherche des domaines usurpables. Un audit de surface les récupère et vous indique s'ils sont présents, valides, et surtout si votre politique DMARC applique réellement une décision ou se contente d'observer.
[ PASSEZ À L’ACTION ]
Votre site est-il concerné ?
Lancez un audit de surface gratuit et obtenez en quelques secondes la liste exacte de vos failles, avec le correctif pour chacune. Anonyme, sans inscription.
▶ Auditer mon site[ À LIRE AUSSI ]
[ CheckCyber // MIS À JOUR LE 2026-07-25 ]