DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) se construit au-dessus de SPF et DKIM. Le propriétaire du domaine publie un enregistrement TXT à _dmarc.example.com qui indique aux serveurs de messagerie destinataires ce qu'ils doivent faire d'un message prétendant venir du domaine mais échouant à l'authentification.

La balise p= définit la politique : none ne fait qu'observer, quarantine demande aux destinataires de placer les messages suspects dans le dossier indésirable, et reject leur demande de refuser purement et simplement. La balise rua= indique une adresse qui recevra des rapports agrégés au format XML, donnant au propriétaire du domaine une visibilité sur tout ce qui envoie du courrier en son nom — services légitimes comme abus. La balise ruf= cible des rapports forensiques par message, peu déployés en pratique pour des raisons de vie privée.

DMARC impose également un alignement : le domaine de l'en-tête From visible doit correspondre au domaine validé par SPF ou DKIM. L'alignement peut être *relaxed* (même domaine d'organisation) ou *strict* (correspondance exacte). C'est ce qui relie l'authentification à l'identité que l'utilisateur voit réellement, et qui comble la faille que SPF et DKIM laissent ouverte individuellement.

Les balises sp= et pct= aident au déploiement progressif : sp= applique une politique distincte aux sous-domaines, et pct= n'applique la politique qu'à un pourcentage des messages, ce qui permet de monter en intensité sans tout casser. DMARC est aussi un prérequis pour BIMI (affichage du logo de marque dans la boîte de réception) chez les principaux fournisseurs de messagerie.