COMMENT CONFIGURER DMARC
POUR VOTRE ENTREPRISE
Avant de se voir attribuer un certificat VMC (Verified Mark Certificate), une entreprise doit
d’abord se conformer au protocole DMARC (Domain-based Message Authentication, Reporting& Conformance). Découvrez dans ce guide toutes les mesures à prendre pour garantir unebonne implémentation de DMARC.

DMARC : DES ARGUMENTS SOLIDESDMARC, C’EST QUOI ?
DMARC est un protocole de politiques, de reporting et d’authentificationd’e-mails qui permet aux entreprises de protéger leur domaine contre touteutilisation non autorisée (usurpation d’identité, attaques de phishing, etc.).

DMARC en quelques points :Enregistrement TXT dans le registre DNS qui permet aux destinataires devos e-mails de vérifier l’authenticité des messages reçus.
Conçu pour s’intégrer au processus existant d’authentification descommunications entrantes d’une entreprise, DMARC aide les destinataires
à vérifier qu’un message présente bien tous les attributs connus surl’expéditeur.
Les entreprises peuvent choisir parmi trois configurations pour traiter lesmessages en apparence suspects :« p=none » (aucune règle activée)« p=quarantine » (mise en quarantaine)« p=reject » (refus)

Pour un fonctionnement optimal de DMARC, les protocoles SPF (SenderPolicy Framework) et DKIM (DomainKeys Identified Mail) doivent êtreparamétrés au préalable.
L’enregistrement DMARC d’une entreprise peut être vérifié au moyend’outils disponibles sur Internet tels que le site valimail.com.

DMARC : POINT DE DÉPART D’UNE MEILLEURE
AUTHENTIFICATION DES E-MAILS
L’objectif du protocole DMARC est de créer un réseau d’expéditeurs et dedestinataires qui collaborent pour améliorer les pratiques d’authentification
des expéditeurs et permettent aux destinataires de refuser les messages
non authentifiés.

DMARC : DES ARGUMENTS SOLIDESLA DIFFÉRENCE DMARC
En adoptant le protocole DMARC, les entreprises bénéficient d’avantages
sur quatre fronts essentiels :1. Sécurité
Bloquez l’utilisation frauduleuse de votre domaine de messagerie pourprotéger vos destinataires des campagnes de spams, fraudes et phishing.

%

2. Visibilité
Obtenez des rapports détaillés sur les individus et/ou systèmes qui
utilisent votre domaine pour envoyer des e-mails.

3. Livrabilité
Augmentez de 5 à 10 % les taux de délivrabilité dans les boîtes mail de vos
destinataires et évitez que vos e-mails ne soient signalés comme spams.

4. Protection de la marqueDéfendez votre marque contre les attaques par usurpation d’identité.

des clients sont moins enclins à interagir avec une marque après avoir subi
une attaque de phishing usurpant l’identité de celle-ci.

01 : CONFIGURATION SPF

CONFIGURATION SPF : MODE D’EMPLOI
1. Faites l’inventaire des adresses IP qui serviront à envoyer dese-mails depuis votre domaine, y compris :Serveur web
Serveur de messagerie interne
Serveur de messagerie du FAIAutres serveurs de messagerie externes

2. Dressez une liste des domaines d’envoi, mais aussi de ceux qui
ne serviront pas à l’envoi d’e-mails.

3. Créez un enregistrement SPF au format .txt pour chaque domaine
à l’aide d’un éditeur de texte (Notepad ++, Vim, Nano, etc.)

Exemple 1 : v=spf1 ip4:1.2.3.4 ip4:2.3.4.5 ip4:x.x.x.x -all
Exemple 2 : v=spf1 ip4:1.2.3.4 ip4:2.3.4.5 include:autremessagerie.fr -all

4. Publiez l’enregistrement SPF sur votre registre DNS.
Si vous gérez vous-même votre DNS, il vous suffit d’ajouter unnouvel enregistrement TXT contenant le texte SPF. Sinon, demandez
à l’administrateur de votre serveur d’ajouter l’enregistrement.

5. Vérifiez ensuite votre registre DNS à l’aide d’un outil de vérification
SPF.

LE SPF, C’EST QUOI ?
Ne laissez pas des expéditeurs non autorisés ternir votre réputation
Le standard SPF a révolutionné le concept d’authentification dese-mails basée sur les domaines. Il empêche l’usurpation d’identité enpermettant au propriétaire d’un domaine d’approuver automatiquement
les adresses IP des serveurs autorisés à envoyer des e-mails sous lenom dudit domaine. En clair, si l’adresse IP d’un serveur de messagerie
ne figure pas sur la liste, tout e-mail envoyé depuis le domaine enquestion échouera au test d’authentification SPF.

02 : CONFIGURATION DKIMCONFIGURATION DKIM : MODE D’EMPLOI
1. Choisissez un sélecteur DKIM.
Il doit s’agir d’une simple chaîne de texte définie par l’utilisateurqui sera ajoutée au nom de domaine pour aider à identifier la clé
publique DKIM (ex. « standard »).
Exemple : « standard._domaine.exemple.fr » = nom d’hôte

2. Générez une paire de clés publique/privée pour votre domaine.
Les utilisateurs Windows peuvent utiliser PUTTYGen
Les utilisateurs Linux et Mac peuvent utiliser ssh-keygen

3. Créez et publiez un nouvel enregistrement TXT.
Créez un nouvel enregistrement depuis votre console de gestion
DNS à l’aide de la clé publique générée.
Exemple : v=DKIM1; p=Votreclépublique

LE DKIM, C’EST QUOI ?
Prévenez toute altération de vos e-mails en cours de route
DKIM est un standard d’authentification des e-mails qui se base surla cryptographie à clé publique/privée pour signer des e-mails.
Il permet de vérifier si le message provient bien du domaine associéà la clé DKIM et si l’e-mail n’a pas été modifié pendant son acheminement.

03 : CONFIGURATION DE DMARC EN MODE DE SURVEILLANCE (« P=NONE »)CONFIGURER DMARC EN MODE
DE SURVEILLANCE
1. Assurez-vous d’avoir correctement paramétré les protocoles SPF et DKIM
2. Créez un registre DNS
Le nom de l’enregistrement DMARC « txt » doit ressembler à ceci :« _dmarc.votre-domaine.fr. »Exemple : « v=DMARC1;p=none; rua=mailto:rapportsdmarc@votre-domaine.fr »Si vous gérez vous-même le DNS de votre domaine, créez un enregistrement
DMARC « p=none » (mode de surveillance)de la même manière que pour les enregistrements SPF et DKIM.

LE MODE SURVEILLANCE DMARC,C’EST QUOI ?

Sinon, demandez au gestionnaire de votre DNS de créer l’enregistrement DMARC
pour vous.

Bénéficiez d’une visibilité sur tous les messages envoyés
depuis votre domaine

3. Testez votre enregistrement DMARC à l’aide d’un outil de vérification DMARC
Remarque : la durée de réplication se situe généralement entre
24 et 48 heures.
Outil de vérification DMARC

Le mode surveillance (ou monitoring) permet aux propriétaires dedomaine de consulter des rapports DMARC portant sur tout le trafic
e-mail rattaché à leur domaine.
Ces rapports signalent les messages qui seront soit mis en quarantaine,
soit refusés lorsque les règles DMARC seront mises en application. Ilsaffichent également des informations sur tous les systèmes et services
qui envoient des e-mails à partir du domaine surveillé.
REMARQUE : en mode surveillance, aucune règle n’est appliquée. Lese-mails dont l’authentification a échoué sont envoyés normalement pouréviter toute perturbation pendant la phase d’implémentation de DMARC.

ÉTIQUETTES DMARC

ÉTIQUETTES COURAMMENT UTILISÉES DANSLES ENREGISTREMENTS DMARC .TXTNOM DE L’ÉTIQUETTEOBLIGATOIREOBJETVOBLIGATOIRE

VERSION DU PROTOCOLEPOBLIGATOIRE

VERSION DU POLITIQUE

PCT

FACULTATIVE% D’E-MAILS À FILTRER

RUA

FACULTATIVEADRESSE E-MAIL À LAQUELLE SONT ENVOYÉS LES RAPPORTS
DE SITUATION AGRÉGÉSSPFACULTATIVEPOLITIQUE POUR LES SOUS-DOMAINES

04 : SURVEILLANCE ET ÉVALUATIONINFORMATIONS FOURNIES PAR LESRAPPORTS DMARC
Les rapports indiquent aux propriétaires de domaine le nombrede messages frauduleux qui ont utilisé leur domaine et laprovenance de ces messages, tout en précisant s’ils seraient mis en
quarantaine ou refusés une fois les règles DMARC appliquées.

Un rapport pour chaque destinataire est disponible au format XMLet inclut les éléments suivants :Nombre de messages provenant de chacune de ces adresses IPMesures appliquées à ces messages selon la règle DMARC activée

RAPPORTS DMARC : 4 MODES D’UTILISATIONRésultats SPF pour ces messages

Établissez une base de référence fiable avant d’activer les règles
DMARC

Résultats DKIM pour ces messages

1. Identifiez le trafic signalé comme illégitime.

Bien qu’il soit lisible, le format XML n’est pas toujours pratique.
Pour plus de simplicité, les propriétaires de domaine pourront
recourir à un logiciel de traitement de rapports DMARC, tel queValimail ou autre.

2. Repérez les e-mails légitimes signalés comme illégitimes par
DMARC. Selon la règle configurée, ces e-mails seraient soit rejetés, soit
mis en quarantaine.
3. Contactez les propriétaires de systèmes/applications concernéspour vérifier l’authenticité des e-mails signalés comme illégitimes.
4. Le cas échéant, actualisez votre enregistrement SPF en ajoutant lesadresses IP légitimes à la liste d’autorisation.

05 : CONSULTATION ET COMMUNICATIONEXPLOITEZ LES DONNÉES DES RAPPORTS
POUR EFFECTUER LES DERNIERS RÉGLAGESAVANT D’ACTIVER DMARC
L’analyse des rapports DMARC peut certes prendre du temps,mais elle est indispensable. En effet, si les propriétaires de domaine
identifient à tort des expéditeurs comme illégitimes, des e-mails
authentiques pourront être refusés ou mis en quarantaine lorsquela règle DMARC sera mise en application. Le temps perdu à régler
les problèmes pourra alors faire dérailler tout le projet.

D’où l’importance de prendre quelques mesures en interne avant
d’appliquer les règles DMARC :Dressez l’inventaire de tous les expéditeurs identifiés dans lesrapports DMARC et toute autre adresse fournie par les parties
prenantes
Identifiez les propriétaires de chaque adresse/service demessagerie
Classez les services d’envoi en trois catégories : autorisés, nonautorisés ou malveillants
Avec l’aide des personnes concernées, identifiez tout autre
expéditeur absent du rapport DMARC
Consultez les parties prenantes pour chaque nouvel expéditeur
identifiéAjoutez l’adresse IP de tout nouvel expéditeur légitime identifié àvotre enregistrement SPF

COMMUNICATION AVANT MISEEN APPLICATION
5 conseils pour améliorer l’adoption de DMARC
Rédigez une politique d’implémentation à faire circuler auprèsde toutes les parties prenantes
Contactez un service DMARC comme Valimail si la tâche est trop
complexe ou si vous avez besoin d’assistanceCommuniquez les résultats des rapports DMARC dès qu’ils sontdisponibles
Commencez par déployer DMARC à petite échelle en interne
Ralliez l’équipe dirigeante à votre projetCOMMENT CONFIGURER DMARC POUR VOTRE ENTREPRISECOMBIEN DE TEMPS DMARC DOIT-IL RESTEREN MODE SURVEILLANCE ?
La période de surveillance varie d’une entreprise à l’autre, les grands groupes tendant à y consacrer plus
de temps que les petites structures. Vous pouvez tabler sur un processus allant de plusieurs semaines àplusieurs mois.
Dès lors que votre inventaire est terminé, que tous les expéditeurs autorisés ont été répertoriés et que votreentreprise est suffisamment informée, vous pouvez passer au mode quarantaine.

06 : CONFIGURER LA RÈGLE DMARC EN MODE QUARANTAINE

Lorsque le mode quarantaine est activé, les messages qui neparviennent pas à être authentifiés sont mis en quarantaine.
Autrement dit, ces messages atterrissent généralement dansle dossier spam du destinataire.

COMMENT CONFIGURER DMARC
EN MODE QUARANTAINE
1. Connectez-vous à votre serveur DNS et identifiez votre enregistrement
DMARC.

2. Ouvrez l’enregistrement DMARC correspondant au domaine spécifiéet modifiez la politique de « p=none » à « p=quarantine ».
Exemple : « v=DMARC;p=quarantine;pct=10;rua=mailto:rapportsdmarc@votredomaine.fr »3. Ajoutez l’étiquette « pct » (% d’e-mails à filtrer). Nous recommandons deSIGNALEMENT DES E-MAILS SUSPECTS :MODE D’EMPLOI

commencer par un taux de 10 %.

4. À mesure que vous vous familiarisez avec le protocole, augmentez

progressivement le pourcentage d’e-mails à filtrer jusqu’à atteindre« pct=100 » (100 %).
NOTE : pour être conforme aux standards BIMI et VMC, la règle DMARC doitêtre paramétrée à « pct=100 » en mode « quarantine » ou « reject ».

Si une règle autre que « p=none » est spécifiée, cette règle peutêtre appliquée au pourcentage de l’étiquette « pct »Une règle moins restrictive sera alors appliquée au reste dese-mails (p. ex. : pour un enregistrement DMARC affichant« p=quarantine » et « pct=10 », 10 % du trafic sera filtré puis mis en
quarantaine le cas échéant, tandis que 90 % du trafic sera envoyénormalement)

COMMENT CONFIGURER DMARC POUR VOTRE ENTREPRISE

UNE FOIS QUE VOUS AUREZ ATTEINT LA BARRE DES
100 % DE MESSAGES FILTRÉS, VOUS POURREZ PASSER À« P=REJECT », LA RÈGLE LA PLUS STRICTE.

07 : CONFIGURER LA RÈGLE DMARC EN MODE REFUS

COMMENT CONFIGURER LA RÈGLE DMARC
DE REFUS
1. Ouvrez votre enregistrement DMARC depuis votre console DNS
2. Remplacez « p=quarantine » par « p=reject »Exemple : « v=DMARC;p=reject;pct=100;rua=mailto:rapportsdmarc@votre-domaine.fr »3. Sauvegardez l’enregistrement
CONSEIL : il est particulièrement important de continuer à surveiller
le trafic d’e-mails pour éviter que des messages légitimes ne soientrefusés puis supprimés
As-tu plus de questions? Écrivez-nous dès aujourd'hui à
contactus@digicert.com ou visitez-nous àhttps://www.digicert.com/fr/tls-ssl/verified-mark-certificates/ ?
© 2021 DigiCert, Inc. Tous droits réservés. DigiCert est une marque déposée deDigiCert, Inc., aux États-Unis et dans d'autres pays. Toutes les autres marques,déposées ou non, sont des marques commerciales de leurs détenteurs respectifs.

RÈGLE DE REFUS : QU’ADVIENT-IL DES
E-MAILS ?
Tous les messages qui échouent à l’authentification DMARC (e-mailsnon autorisés) seront bloqués/supprimés. Leurs destinataires ne lesrecevront donc pas et n’auront aucune connaissance de leur existence.