Différences

Ci-dessous, les différences entre deux révisions de la page.

--- dmarc [2025/08/31 09:57] – [En pratique] seb
+++ dmarc [2025/10/16 20:01] (Version actuelle) – [En pratique] seb
@@ Ligne 4: / Ligne 4: @@
 ===== Préambule =====
-**DMARC** est un processus permettant de donner des instructions aux MTAs destinataires des emails sur la façon de traiter les emails que ne satisferaient pas aux tests **SPF** et **DKIM**. Cela permet d'éviter le spoofing et le phishing qui serait fait avec notre domaine. Google, Yahoo!, Hotmail, etc... envoient alors un rapport quotidien par email ou vers un script si une URI est renseignée.
+**DMARC** est un processus permettant de donner des instructions aux MTAs destinataires des emails sur la façon de traiter les emails qui échoueraient aux tests **SPF** et **DKIM**. Cela permet d'éviter le spoofing et le phishing qui serait fait avec notre domaine. Google, Yahoo!, Hotmail, etc... peut envoyer alors un rapport quotidien par email ou vers un script si une URI est renseignée.
 Pour faire simple, **DMARC** indique au domaine d'email destinataire ce qu'il faut faire d'un email suspect venant de notre domaine.
 Donner un **DMARC** strict indique au MTA destinataire que l'on prend soin de la qualité de ses emails et que l'on veut montrer patte blanche ; les emails venant d'un usurpateur seraient bloqués.
+On assure donc une meilleure délivrabilité de ses emails et on limite leur passage dans le spam.
 ===== Installation =====
@@ Ligne 47: / Ligne 49: @@
 ===== En pratique =====
-''v=DMARC1; pct=100; p=none; sp=reject; rua=mailto:postmaster@mondomaine.com; ruf=mailto:postmaster@mondomaine.com; fo:1; aspf=r; adkim=r''
+''v=DMARC1; pct=10; p=none; sp=reject; rua=mailto:postmaster@mondomaine.com; ruf=mailto:postmaster@mondomaine.com; fo:1; aspf=r; adkim=r''
-Cet enregistrement est parfait pour commencer (on peut modifier l'enregistrement après une période test de façon à affiner le réglage DMARC) car peu restrictif, seuls les emails provenant des sous-domaines et ne passant pas les tests sont rejetés.
+Cet enregistrement est parfait pour commencer car peu restrictif, seuls 10% des emails sont testés, ceux provenant des sous-domaines et ne passant pas les tests sont rejetés.
+On consulte les rapports quotidiennement et on augmente le % de tests, puis on passe sur ''p=quarantine'', on passe aussi sur ''spf=s'' et ''dkim=s'' si ils ne posent pas de problèmes.
 Une fois tous les problèmes réglés, on peut transformer cet enregistrement en :
-''v=DMARC1; pct=100; p=reject; sp=reject; rua=mailto:postmaster@mondomaine.com; ruf=mailto:postmaster@mondomaine.com; fo:1; aspf=s; adkim=s''
+''v=DMARC1; pct=100; p=reject; sp=reject; rua=mailto:postmaster@mondomaine.com; ruf=mailto:postmaster@mondomaine.com; fo:1; aspf=s; adkim=s;''
 Beaucoup plus strict et montrant aux MTAs qu'on se soucie d'une sécurité maximale, toute en conservant des rapports ; à condition de les étudier régulièrement sinon aucun intérêt de demander à les recevoir.
+Attention, cela pose problème lors de forwarding d'email puisque l'émetteur change ; on peut mettre ''spf=r'' et ''dkim=r'' (pour Relaxed), les MTAs peuvent donc choisir quoi faire (généralement dirigé en spam).
 ===== Rapports =====
-Si les variables **//rua//** et/ou //**ruf**// sont renseignées, on recevra le rapport quotidien des MTAs (Google, Yahoo!, Outlook) des destinataires de nos emails (on ne reçoit le rapport que si on a envoyé un email vers ce MTA). Un rapport sur **//rua//** pour  le rapport agrégé (même si tout va bien), un rapport sur //**ruf**// si il y a des erreurs.
+Si les variables **//rua//** et/ou //**ruf**// sont renseignées, on recevra le rapport quotidien de certains MTAs comme Google, Yahoo!, Outlook... (tous ne le font pas). On ne reçoit le rapport que si on a envoyé un email vers ce MTA. Un rapport sur **//rua//** (//agregated//) pour le rapport agrégé, même si tout va bien, un rapport sur //**ruf**// (//forensic//) si il y a des erreurs.
 Ce rapport au format XML permet de savoir si les emails sont délivrés correctement. On retrouve un résumé de la politique de traitement de SPF et DKIM, et si les emails ont passés les tests (ou si certains ont été rejetés ou marqués comme spam).
+En cas de problèmes, comme un spammeur qui voudrait se faire passer pour //**expe@mondomaine.com**//, on aurait des informations dans le rapport forensic (//ruf//) telles que :
+<code xml>
+<row>
+    <source_ip>203.0.113.45</source_ip>
+    <count>1</count>
+    <policy_evaluated>
+        <disposition>reject</disposition>
+        <dkim>fail</dkim>
+        <spf>fail</spf>
+    </policy_evaluated>
+</row>
+</code>
 Ces rapports sont essentiels, au moins durant la période de mise en place d'une politique solide (très stricte) et qui fonctionne bien.
@@ Ligne 71: / Ligne 90: @@
 ===== Ressources =====
-https://support.google.com/a/answer/2466580
+  * Conseils Gmail : [[https://support.google.com/a/answer/2466580]]
+  * Test du DMARC : [[https://dmarcian.com/]]
+  * Lire les rapports DMARC : [[https://us.dmarcian.com/xml-to-human-converter/]]