Qu'est-ce que DMARC et pourquoi votre entreprise en a besoin

Sur une lettre papier, n’importe qui peut écrire votre nom sur l’enveloppe. Dans le courrier électronique, il se passe exactement la même chose : SMTP, le protocole qui transporte le courrier sur internet depuis quatre décennies, est né sans mécanisme solide pour vérifier que l’expéditeur est bien celui qu’il prétend être. N’importe quel serveur au monde peut envoyer aujourd’hui un message qui dit provenir de votre domaine. Et si personne ne le vérifie, le destinataire le verra comme venant de vous.

SPF, DKIM et DMARC existent pour combler cette faille. Ce sont trois contrôles que le serveur qui reçoit un e-mail applique avant de le remettre, et chacun répond à une question très concrète :

• SPF demande : ce serveur est-il autorisé à envoyer du courrier au nom de ce domaine ? Le propriétaire du domaine publie dans le DNS — l’annuaire public d’internet — la liste des serveurs qui peuvent envoyer pour lui.
• DKIM demande : le message est-il signé et est-il arrivé sans altération ? Le serveur émetteur ajoute une signature cryptographique : un sceau qui se brise si quelqu’un modifie le contenu en chemin.
• DMARC pose la question décisive : ce qui a été validé correspond-il au domaine que l’utilisateur voit dans le « De : » ? Car un message peut passer les contrôles techniques et afficher malgré tout un expéditeur falsifié. Et s’il n’y a pas de correspondance, DMARC définit quoi en faire — l’accepter, le mettre en quarantaine ou le rejeter — et qui avertir de chaque tentative.

Le diagramme ci-dessous montre ce parcours complet : trois contrôles, trois destinations possibles et un rapport qui revient au propriétaire du domaine.

Pourquoi un dirigeant d’entreprise devrait-il s’y intéresser ? À cause de la fraude au président, le Business Email Compromise : un e-mail qui semble venir du directeur général demande un virement urgent, ou un fournisseur de toujours « prévient » qu’il a changé de compte bancaire. Et il y a un détail que presque personne ne connaît : dans bien des cas, ni votre entreprise ni celle de votre fournisseur n’ont été attaquées. Il suffit qu’un tiers ayant participé à la conversation — une autre entreprise, une autre personne du fil — ait sa boîte compromise. Avec cela, l’attaquant connaît les noms, les objets, les factures et les fils réels, et construit une tromperie convaincante.

Voici la différence entre avoir DMARC et opérer DMARC. Publier trois enregistrements DNS n’est que le point de départ : un enregistrement que personne n’analyse ne protège guère. Chaque jour, les serveurs qui reçoivent du courrier au nom de votre domaine — Microsoft, Google et des milliers d’autres — génèrent des rapports techniques et les envoient au propriétaire du domaine. Nous les recevons et les analysons, avec l’appui de l’automatisation et de l’intelligence artificielle pour classer le volume : nous détectons les tentatives d’usurpation, nous repérons les services légitimes mal déclarés — cette plateforme de facturation ou de marketing qui envoie pour vous sans y être autorisée —, nous durcissons la politique de façon progressive sans bloquer le courrier légitime, et nous vous le présentons dans des rapports périodiques qui se comprennent. Le résultat est mesurable : sur les domaines que nous gérons, la protection DMARC atteint 95–100 % du courrier.

Cela vaut aussi bien si votre messagerie vit sur Microsoft 365 que sur notre messagerie privée. Dans le second cas, nous allons un pas plus loin : nous croisons les rapports DMARC avec les journaux réels du serveur, et nous confrontons ce que les serveurs du monde disent avoir vu avec ce que nos systèmes ont réellement envoyé, reçu ou bloqué.

Qu’y gagnez-vous ? Trois choses concrètes. Que votre domaine cesse de servir à tromper vos clients et vos fournisseurs. Que votre courrier légitime arrive mieux, parce qu’une authentification correcte améliore la délivrabilité. Et de la visibilité : savoir qui envoie en votre nom, depuis où et avec quel résultat.

Une dernière honnêteté : DMARC n’arrête pas tout. Si un compte légitime a été compromis, ses messages s’authentifieront correctement ; pour cela, il existe d’autres couches. C’est pourquoi DMARC est une pièce — essentielle, mais une pièce — au sein de la sécurité de la messagerie que nous opérons, aux côtés de la défense contre la fraude au président, de l’authentification à deux facteurs et de l’analyse forensique.