Règles DMARC : causes des échecs DMARC (et solutions rapides)

Aperçu

• DMARC aide à garantir que les emails proviennent réellement de votre domaine et des expéditeurs autorisés, ce qui améliore le placement en boîte de réception et atténue les risques d'usurpation d'identité.
• Les échecs DMARC proviennent généralement d'erreurs de configuration telles que l'absence d'expéditeurs autorisés, des signatures invalides, des règles incorrectes, des problèmes de transfert ou l'ajout de nouveaux outils tiers sans mises à jour DNS.
• Pour diagnostiquer rapidement, examinez les rapports DMARC à la recherche de caractéristiques récurrentes, vérifiez les en-têtes des messages rejetés et confirmez que vos domaines d'envoi correspondent à l'adresse du champ De.
• Pour résoudre rapidement les problèmes, mettez à jour SPF, activez et validez DKIM, faites passer DMARC du mode surveillance au mode d'application des règles, corrigez les erreurs d'alignement des adresses d'expéditeur et assurez-vous que chaque fournisseur autorisé envoyant des emails en votre nom peut réussir l'authentification.
• Maintenez l'efficacité de DMARC grâce à une surveillance continue, des règles de sous-domaine, des audits réguliers, une formation de l'équipe et le soutien des outils Proofpoint.

———

---

DMARC (Domain-based Message Authentication, Reporting, and Conformance) est un protocole d'authentification de messagerie qui contribue à protéger votre domaine contre l'utilisation non autorisée. Les échecs DMARC, cependant, sont une cause majeure de problèmes de remise et peuvent vous exposer au phishing et à l'usurpation d'identité.

Dans ce billet de blog, nous explorerons les causes les plus fréquentes des échecs DMARC. Nous recommanderons également un dépannage étape par étape, des configurations, des bonnes pratiques et des outils pour renforcer la protection de la messagerie.

Pourquoi DMARC est-il important pour les entreprises ?

DMARC confirme qu'un email supposé provenir de votre domaine est légitimement autorisé, ce qui protège vos domaines contre l'usurpation d'identité et améliore le taux de remise. L'adoption de DMARC a bondi en réponse à l'essor des cybermenaces, soulignant l'urgence d'une authentification des emails plus fiable.

La plupart des grands fournisseurs de messagerie imposent désormais les exigences DMARC, et la non-conformité peut affecter la remise. Les expéditeurs envoyant plus de 5 000 emails par jour qui échouent aux vérifications SPF, DKIM et DMARC peuvent voir leurs messages dirigés vers le dossier de courrier indésirable, voire être directement rejetés. Bien que ces règles soient destinées aux expéditeurs en masse, toutes les entreprises devraient envisager d'adopter DMARC, SPF et DKIM comme pratique standard.

Au-delà du taux de remise, DMARC contribue également à améliorer les facteurs suivants :

• Sécurité : réduit le phishing et autres attaques basées sur les emails.
• Visibilité : fournit des rapports qui aident les administrateurs à vérifier si les expéditeurs utilisant le domaine sont authentifiés.
• Protection de la marque : bloque les messages frauduleux, susceptibles d'éroder la confiance des clients.
• Conformité : aide les entreprises à répondre aux critères de sécurité et aux exigences réglementaires.
• Confiance des clients : démontre un engagement à protéger les clients et leurs données.

SPF et DKIM

SPF et DKIM sont les mécanismes sous-jacents sur lesquels DMARC s'appuie pour authentifier les emails.

• Sender Policy Framework (SPF) permet aux propriétaires de domaine de spécifier, via une adresse IP, qui est autorisé à envoyer des emails en leur nom. Ce mécanisme doit empêcher les attaquants de falsifier l'adresse du champ De en utilisant le domaine de l'entreprise.
• DomainKeys Identified Mail (DKIM) ajoute une signature cryptographique à chaque message pour confirmer qu'il provient bien du domaine indiqué et n'a pas été altéré pendant le transit.

Fonctionnement de DMARC

Avant de passer à l'analyse des causes d'échec DMARC, examinons brièvement comment fonctionne ce protocole.

Pour qu'un message réussisse la validation DMARC, il doit réussir une vérification SPF ou une vérification DKIM assurant qu'il est aligné sur le domaine stipulé dans l'en-tête De. Dans le cas contraire, le serveur de messagerie à la réception applique l'une des trois règles DMARC :

• None (p=none) : le message est remis, mais l'échec de validation est signalé au propriétaire du domaine.
• Quarantine (p=quarantine) : le message est marqué comme suspect/indésirable/spam.
• Reject (p=reject) : le message est complètement bloqué.

La plupart des entreprises commencent par une règle DMARC « None » pour identifier tous les expéditeurs légitimes. Une fois qu'elles ont résolu tous les problèmes d'authentification, elles mettent généralement à jour leurs règles DMARC pour adopter des règles de quarantaine ou de rejet.

Une passerelle de messagerie sécurisée doit faire respecter les règles DMARC pour protéger les utilisateurs contre les menaces entrantes.

Causes fréquentes des échecs DMARC

La plupart des échecs DMARC résultent de problèmes liés à SPF, DKIM ou aux règles DMARC elles-mêmes, mais pas exclusivement. Voici les causes premières les plus courantes.

Erreur de configuration ou désalignement SPF

SPF doit être correctement configuré et aligné sur le domaine dans l'en-tête De. Parmi les problèmes fréquents, citons :

• Adresses IP ou services d'envoi manquants : un expéditeur autorisé n'est pas répertorié dans votre enregistrement SPF.
• Réussite de la validation SPF, mais échec de la vérification d'alignement : le domaine de l'enveloppe SMTP ne correspond pas au domaine visible dans le champ De.
• Erreurs de syntaxe dans l'enregistrement SPF ou dépassement de la limite de recherches DNS : l'enregistrement SPF dépasse la limite de 10 recherches DNS ou contient une syntaxe invalide.

Erreur de configuration DKIM

Les problèmes DKIM proviennent souvent d'erreurs de configuration ou de modification du message après la signature. Parmi les défaillances fréquentes, citons :

• Sélecteur DKIM incorrect ou manquant : le serveur à la réception ne peut pas trouver la clé publique correcte.
• Message modifié après la signature : des listes de diffusion, des pieds de page ou des attaques de type man-in-the-middle modifient les en-têtes ou le contenu du corps de message.
• Désalignement de domaine : le domaine indiqué par d= dans la signature DKIM ne correspond pas au domaine figurant dans le champ d'en-tête De.

Transfert et listes de diffusion

Les intermédiaires de transfert peuvent empêcher l'authentification, même si l'expéditeur d'origine est correctement configuré. Parmi les défis fréquents, citons :

• Systèmes de transfert qui altèrent les signatures SPF ou DKIM : les emails transférés peuvent provenir d'une adresse IP non répertoriée ou perdre l'intégrité de leur signature.
• Listes de diffusion qui modifient les messages : les modifications de l'objet, ajouts de pieds de page ou réécritures d'en-tête altèrent les signatures DKIM.

Services de messagerie tiers

Enfin, DMARC peut échouer simplement parce qu'un nouveau service a été ajouté sans mettre à jour le DNS. Les oublis courants incluent :

• Fournisseurs externes pas ajoutés à SPF ou DKIM : les systèmes marketing, CRM ou transactionnels restent non autorisés.
• Nouveaux services intégrés sans mises à jour DNS : les expéditeurs légitimes échouent à l'authentification tant que SPF et DKIM ne sont pas mis à jour.

Règles DMARC et lacunes dans les rapports

Les problèmes peuvent se situer dans l'enregistrement DMARC, mais ce dernier contrôle les règles (ce que le destinataire doit faire en cas d'échec) et la génération de rapports, pas le résultat succès/échec lui-même. Parmi les problèmes fréquents :

• Aucun enregistrement DMARC publié : les destinataires n'ont pas de règles à appliquer.
• Erreurs de syntaxe TXT DMARC : les enregistrements mal formatés sont ignorés par les destinataires.
• Règles de sous-domaine ou adresses de rapport manquantes : les règles de sous-domaine (sp=none) pour les sous-domaines ou les champs de rapport rua/ruf ne sont pas définis.

Diagnostic des échecs DMARC 

Voici une procédure pratique que vous pouvez suivre pour identifier rapidement à quel niveau se produisent les échecs DMARC.

1. Commencer par les rapports DMARC (RUA et RUF)

Les rapports DMARC fournissent un aperçu général du traitement des emails de votre domaine.

• Les rapports agrégés (RUA) résument les sources d'envoi, les volumes de trafic, les taux de réussite/échec et les résultats d'alignement entre les fournisseurs. Ils vous aident à repérer des caractéristiques récurrentes tels que des expéditeurs inconnus, un trafic mal aligné ou des pics d'échecs.
• Les rapports d'investigation (RUF) contiennent des détails au niveau des messages pour les échecs individuels, ce qui les rend utiles pour diagnostiquer les erreurs de configuration ou les activités suspectes.

Ces rapports sont fournis au format XML ; vous devez donc utiliser un analyseur de rapports DMARC ou une plate-forme de surveillance pour les convertir en informations exploitables.

2. Analyser les en-têtes de message

L'analyse des en-têtes est un moyen direct de confirmer si un échec est dû à un enregistrement DNS mal configuré, à un désalignement, à une signature invalide ou à une modification du message.

• Extrayez les en-têtes email bruts de votre client de messagerie ou de votre passerelle.
• Inspectez les champs de résultats SPF, DKIM et DMARC, qui indiquent généralement si chaque vérification a réussi, échoué ou produit une erreur temporaire.

Des outils comme Google Admin Toolbox peuvent mettre en évidence les résultats d'authentification clés et identifier où les échecs se produisent.

3. Vérifier l'alignement entre SPF et DKIM

Même si les vérifications SPF et DKIM réussissent, DMARC échouera à moins que l'un d'eux ne soit aligné sur le domaine dans l'en-tête De du message.

Pour vérifier l'alignement, vérifiez les éléments suivants :

• Domaine MAIL FROM de l'enveloppe (utilisé dans SPF)
• d= domaine  DKIM (utilisé dans les signatures DKIM)
• Domaine indiqué dans l'en-tête De (visible par le destinataire)

Ces trois domaines n'ont pas besoin de correspondre exactement, mais ils doivent relever du même domaine organisationnel selon votre mode d'alignement DMARC (relâché ou strict). Si ni SPF ni DKIM ne sont alignés sur le domaine indiqué dans l'en-tête De, DMARC échouera, même si l'authentification a réussi.

Correction des échecs DMARC étape par étape

1. Valider vos enregistrements SPF

• Assurez-vous que tous les expéditeurs et services autorisés (Microsoft 365, Google Workspace, outils de marketing, CRM, fournisseurs SaaS) sont inclus. N'incluez que les adresses IP qui envoient du trafic en votre nom.
• Utilisez des outils de recherche SPF pour vérifier la syntaxe, confirmer que tous les mécanismes se résolvent correctement et vérifier que vous n'avez pas dépassé la limite de 10 recherches DNS.

2. Aligner et tester les paramètres DKIM

• Activez la signature DKIM pour chaque domaine à partir duquel vous envoyez des messages.
• Confirmez que les enregistrements du sélecteur sont corrects et assurez-vous que les signatures DKIM sont valides dans les en-têtes d'email.

3. Ajuster vos règles DMARC

• Commencez avec p=none pour observer le trafic et collecter des rapports.
• Passez au mode p=quarantaine une fois les expéditeurs légitimes corrigés.
• Passez au mode p=reject pour une application complète des règles et définissez pct=100 lorsque vous êtes prêts.

4. Résoudre les problèmes de transfert

• Activez ARC (Authenticated Received Chain) lorsque ce protocole est pris en charge pour préserver l'authentification via les intermédiaires.
• Assurez-vous que les messages transférés conservent les signaux SPF/DKIM dans la mesure du possible.

5. Autoriser tous les expéditeurs tiers

• Mettez à jour les paramètres SPF et DKIM pour chaque fournisseur de messagerie que vous utilisez.
• Auditez régulièrement les domaines d'envoi et les fournisseurs.

6. Tester et surveiller en continu

• Maintenez la surveillance DMARC active, en utilisant un outil comme Google Admin Toolbox, pour détecter les problèmes en amont.

Causes fréquentes et corrections des échecs DMARC

Cause	Impact	Correction
Non-alignement SPF	Les emails peuvent être envoyés dans le dossier de spam ou traités comme suspects	Mettre à jour les enregistrements SPF pour inclure tous les expéditeurs autorisés ; vérifier l'alignement avec le domaine De
Échec DKIM	Activer la signature DKIM, s'assurer que les sélecteurs sont corrects et vérifier que les signatures ne sont pas altérées en transit
Absence d'enregistrement DMARC	Pas de règles ni de mise en application ; les destinataires ne peuvent pas évaluer l'authenticité	Publier un enregistrement DMARC valide avec des règles et des adresses de rapport appropriées
Problèmes de transfert	SPF et DKIM peuvent être compromis, entraînant l'échec de DMARC pour les messages	Activer ARC si possible ; s'assurer que les signatures DKIM sont préservées
Services tiers	Les emails légitimes échouent l'authentification en raison de mises à jour DNS manquantes	Autoriser tous les expéditeurs externes en mettant à jour SPF et DKIM pour chaque fournisseur

 

Bonnes pratiques pour prévenir les échecs DMARC

Ces bonnes pratiques contribuent au bon fonctionnement des authentifications DMARC à long terme et à la réduction du risque de problèmes de remise inattendus.

1. Configurer la surveillance DMARC dès le premier jour

• Activez la surveillance dès que votre domaine commence à envoyer des emails pour détecter précocement une activité non autorisée ou des erreurs de configuration.
• Utilisez une plate-forme de génération de rapports DMARC pour transformer les rapports XML en tableaux de bord clairs et établir une ligne de base pour le trafic normal.

2. Vérifier à nouveau SPF, DKIM et DMARC lorsque vous intégrez un nouveau fournisseur

Chaque fois que vous ajoutez un outil de marketing, un CRM, une plate-forme de support ou un autre nouvel expéditeur :

• Ajoutez les adresses IP ou les mécanismes d'envoi du fournisseur à SPF.
• Vérifiez la clé DKIM du fournisseur et assurez-vous que la signature est activée.
• Confirmez que vos règles DMARC sont toujours alignées sur votre stratégie d'authentification.

3. Utiliser des règles spécifiques au sous-domaine pour éviter les lacunes

Les attaquants exploitent fréquemment des sous-domaines non protégés. Renforcer ces contrôles contribue donc à bloquer un point d'entrée facile.

• Appliquez les règles DMARC aux sous-domaines individuellement ; ne comptez pas sur les règles du domaine parent pour les couvrir.
• Définissez des règles explicites pour les sous-domaines utilisés par des services tiers, en envisageant la mise en quarantaine ou le rejet pour une protection renforcée.

4. Planifier des audits trimestriels du DNS et des règles

Les évaluations de routine empêchent que des erreurs de configuration silencieuses ou des changements d'infrastructure ne se transforment en problèmes de remise d'emails. Tous les trois mois au minimum, passez en revue les éléments suivants :

• Enregistrements SPF pour les entrées obsolètes
• Clés DKIM, à remplacer périodiquement
• Rapports DMARC pour les anomalies ou les expéditeurs non autorisés
• Nouveaux sous-domaines ou services nécessitant des enregistrements DNS mis à jour

5. Former les équipes informatique et marketing aux flux d'authentification des emails

Les équipes correctement formées détectent les problèmes en amont et évitent d'introduire des erreurs de configuration qui compromettent l'authentification. Assurez-vous que les équipes comprennent :

• Comment SPF, DKIM et DMARC fonctionnent de concert
• Pourquoi les mises à jour DNS sont importantes lors du lancement de nouveaux outils ou de campagnes
• Comment lire les rapports DMARC
• Les bonnes pratiques concernant l'intégration des fournisseurs et la gestion des domaines

Comment Proofpoint peut vous aider

Proofpoint propose une variété de services et de ressources pour vous aider à vérifier et à maintenir les enregistrements DMARC :

• Exécutez une vérification DMARC pour évaluer rapidement la configuration DMARC de n'importe quel domaine et identifier les lacunes à corriger.
• Lisez notre eBook Authentification DMARC : la clé pour améliorer le taux de remise des emails.
• Déployez Proofpoint Email Fraud Defense ou Proofpoint Collaboration Security Prime pour surveiller en continu SPF, DKIM et DMARC, suivre l'alignement et signaler les expéditeurs non autorisés.
• Lisez notre fiche technique DMARC pour implémenter DMARC étape par étape et passer en toute confiance de p=none à l'application des règles.

Êtes-vous prêt à renforcer la sécurité de votre messagerie et à stopper l'usurpation de domaines ? Proofpoint peut vous aider à implémenter et à gérer DMARC en toute confiance.

→ Contactez-nous pour vous lancer