FR
Contact

2026-08-10 · Ibida Black Level S.L.

DMARC expliqué : pourquoi votre courriel est vulnérable et comment le corriger en 24h

Pourquoi la plupart des entreprises moyennes restent avec un DMARC faible, à quoi ressemble une configuration fonctionnelle et un plan de 24 heures jusqu'à p=reject sans casser le courriel.

DMARC expliqué : pourquoi votre courriel est vulnérable et comment le corriger en 24h

DMARC est l'un des contrôles de cybersécurité les moins chers à la portée d'une entreprise moyenne européenne. Le mettre en œuvre correctement ne requiert ni achat de licence, ni montage d'infrastructure nouvelle, ni recrutement, ni obtention d'un certificat de conformité. Le mettre en œuvre mal coûte la même chose. La différence entre les deux tient à quelques jours de discipline opérationnelle.

Nous ouvrons chaque mission OSINT défensive par une vérification de DMARC, SPF et DKIM sur les domaines principaux du client. En 2025 et au premier semestre 2026, l'entreprise moyenne européenne typique que nous avons analysée avait au moins un de ces trois contrôles mal configuré. Le cas le plus courant était DMARC en p=none depuis le jour de sa publication, sans personne pour surveiller les rapports agrégés qu'il devait générer.

Cet article est un plan opérationnel pour passer de « nous avons DMARC sur le papier » à « nous sommes protégés au niveau que la directive attend ». Nous supposons que votre entreprise utilise Microsoft 365 ou Google Workspace comme plateforme principale ; les étapes sont équivalentes dans les deux cas, avec les détails propres à chaque fournisseur lorsqu'ils diffèrent.

Ce que fait DMARC et ce qu'il ne fait pas

DMARC est l'acronyme de Domain-based Message Authentication, Reporting and Conformance. C'est une politique exprimée dans un enregistrement TXT du DNS qui indique aux serveurs destinataires quoi faire d'un message qui prétend venir de votre domaine mais échoue aux vérifications SPF ou DKIM sous-jacentes. La politique peut être none (surveiller seulement), quarantine (déplacer vers les indésirables) ou reject (rejeter la remise).

DMARC ne chiffre pas votre courriel, n'empêche pas vos comptes d'être compromis par réutilisation d'identifiants et ne vous protège pas des messages envoyés depuis des domaines ressemblants. Il protège la délivrabilité et l'authenticité du courriel réellement envoyé depuis votre domaine et rend votre domaine très difficile à usurper à grande échelle.

Pour la fraude au président ou le BEC, la menace par courriel la plus chère pour les entreprises moyennes européennes ces dernières années, DMARC en p=reject coupe l'un des quatre prétextes les plus courants : le message qui prétend venir du domaine du dirigeant lui-même, et non d'un domaine ressemblant.

Pourquoi la plupart des entreprises moyennes sont en p=none

La raison est rarement la méconnaissance. La raison est la peur de casser le courriel. Passer de p=none à p=quarantine ou p=reject peut, mal fait, faire tomber du courriel légitime dans les indésirables ou le faire rejeter. La direction se souvient généralement du jour où une notification du conseil est tombée en spam avec plus de vivacité que du jour où une facture frauduleuse n'est pas arrivée.

La solution à cette peur est le rapport agrégé. La balise rua de DMARC demande aux serveurs destinataires d'envoyer des rapports quotidiens résumant qui a tenté d'envoyer du courriel depuis votre domaine et si SPF et DKIM sont passés. Avec deux semaines de ces rapports, vous pouvez construire une image complète de chaque expéditeur légitime que vous devez autoriser, avant de durcir la politique.

Le correctif de 24 heures, heure par heure

Nous supposons que vous avez déjà publié un enregistrement DMARC en p=none avec une rua qui fonctionne. Sinon, la première action est de le faire et d'attendre deux semaines. Le plan suivant s'applique à la seconde phase.

Heure 0 à 4 · Inventaire des expéditeurs légitimes

Récupérez les 14 derniers jours de rapports agrégés. Classez les IP d'origine en quatre groupes :

1. Votre plateforme de courriel principale (M365 ou Google Workspace).

2. Vos plateformes transactionnelles et de marketing (AWS SES, Mailgun, SendGrid, Mailchimp, Acumbamail, votre propre instance Auctimail si vous en avez une).

3. Vos outils de support et CRM qui envoient du courriel en votre nom (Zendesk, HubSpot, Intercom, Front).

4. Sources inconnues.

Le quatrième groupe est le travail. Chaque IP qui s'y trouve est soit un expéditeur légitime non documenté, soit une tentative d'usurpation. Tracez chacune. Les surprises les plus courantes sont : un serveur d'application local hérité qui continue d'envoyer des factures via un relais oublié, un outil RH souscrit l'an dernier par une équipe sans coordination avec l'informatique et un conseiller externe qui a configuré votre domaine dans son propre client de messagerie parce que personne ne lui a dit de ne pas le faire.

Heure 4 à 8 · Nettoyage du SPF

Votre enregistrement SPF est une liste d'expéditeurs que vous autorisez. Modifiez-le de sorte que :

Un SPF propre pour une entreprise moyenne sur Google Workspace, AWS SES et HubSpot se lit ainsi : v=spf1 include:_spf.google.com include:amazonses.com include:_spf.hubspot.com -all. Tout ce qui est substantiellement plus complexe est symptôme de dérive accumulée.

Heure 8 à 12 · Vérification de DKIM

Pour chaque expéditeur légitime qui prend en charge la signature DKIM en votre nom, vérifiez que le sélecteur est publié et que la clé publique est à jour. Microsoft 365 utilise selector1 et selector2. Google Workspace utilise un sélecteur configurable, typiquement google. AWS SES utilise trois enregistrements CNAME pointant vers son infrastructure de signature DKIM.

La vérification est simple : envoyez un message de test depuis chaque plateforme vers une boîte qui expose les en-têtes bruts (mailtester.com, boîte de test de dmarcian.com, ou un compte Gmail avec « afficher l'original » activé) et vérifiez spf=pass et dkim=pass pour l'alignement pertinent.

Si un expéditeur légitime ne prend pas en charge DKIM en votre nom, vous avez une décision stratégique. Soit vous acceptez que ces messages échouent à l'alignement DMARC (et vous demandez à l'expéditeur de se mettre à jour ou vous le remplacez), soit vous maintenez la politique en p=quarantine au lieu de p=reject jusqu'à ce que vous comblez l'écart. Nous avons cessé de recommander la seconde option ; les fournisseurs qui, en 2026, ne signent pas en DKIM en votre nom sont des fournisseurs dont vous devriez vous éloigner.

Heure 12 à 16 · Passer à p=quarantine, pct=100

Mettez à jour l'enregistrement DMARC en p=quarantine; pct=100; rua=mailto:dmarc-reports@votredomaine.com; ruf=mailto:dmarc-failures@votredomaine.com; sp=quarantine; adkim=s; aspf=s. Les marques strictes (adkim=s; aspf=s) ne sont pas toujours nécessaires ; le mode relâché par défaut est acceptable pour la plupart des entreprises moyennes. L'important est de s'engager dans une action de quarantaine réelle et de surveiller.

Surveillez les rapports agrégés les 24 heures suivantes. Si un expéditeur légitime non identifié commence à échouer, ajoutez-le à la configuration SPF ou DKIM avant de passer à l'étape suivante.

Heure 16 à 24 · Passer à p=reject

Mettez à jour l'enregistrement DMARC en p=reject; pct=100; rua=...; ruf=...; sp=reject; adkim=s; aspf=s. Communiquez à votre direction que le courriel qui usurpe votre domaine sera rejeté par les serveurs destinataires qui respectent DMARC, ce qui inclut essentiellement l'ensemble de la population des grands fournisseurs de courriel.

Programmez un rendez-vous dans votre agenda à 14 jours pour réexaminer les rapports agrégés à la recherche d'un expéditeur légitime que le changement aurait cassé. À ce moment-là, les surprises sont généralement petites et faciles à corriger.

À propos de BIMI

BIMI (Brand Indicators for Message Identification) est un contrôle complémentaire qui permet à votre logo vérifié d'apparaître à côté des messages authentifiés dans les clients de messagerie compatibles. Il requiert DMARC en p=quarantine ou p=reject avec pct=100, un SVG vérifié du logo et un Verified Mark Certificate émis par une autorité autorisée.

Pour une entreprise moyenne, BIMI est un complément, pas une nécessité de sécurité. L'ordre honnête est DMARC d'abord, BIMI ensuite et seulement si l'exposition de marque justifie le coût du certificat et la charge opérationnelle de maintenir le VMC.

Pièges honnêtes

> « Nous avons mesuré le temps depuis un DMARC p=none jusqu'à une posture p=reject opérationnelle dans des entreprises moyennes, lorsque le travail est mené par un seul ingénieur avec couverture exécutive. La médiane est de 28 heures. Le but du plan de 24 heures est que le second jour soit du peaufinage, pas de la panique. » — Note de terrain IBL, 2026

Ce que nous faisons chez IBL

Notre sprint DMARC est une mission fixe : deux jours de travail, un de surveillance et un de peaufinage. Le livrable est l'enregistrement DMARC opérationnel, l'enregistrement SPF, la documentation de la configuration DKIM, un inventaire de chaque expéditeur autorisé et un runbook d'une page pour l'ingénieur qui maintiendra le contrôle par la suite.

Si vous souhaitez discuter de votre posture DMARC actuelle, écrivez à info@ociria.com. Nous répondons dans un jour ouvrable.

Ibida Black Level S.L. est un cabinet de conseil boutique en cybersécurité basé à Málaga, en Espagne, avec une équipe opérationnelle en Roumanie. Nous travaillons avec des entreprises moyennes européennes qui préfèrent l'honnêteté technique à l'emballage commercial. Nous avons été fondés en 2026 ; nous n'inventons pas une histoire plus longue.

Lectures connexes

Étiquettes : dmarc, spf, dkim, securite-courriel, anti-usurpation, bec, conformite