Rapports DMARC

Rapport DMARC : voyez qui envoie du courrier en votre nom

Google, Microsoft, Yahoo et d'autres messageries envoient chaque jour une archive XML à l'adresse de votre balise rua. Déposez les fichiers ici tels quels, inutile de les décompresser.

Déposez les fichiers de rapport ici ou cliquez pour choisir : .xml, .gz, .zip, plusieurs à la fois si vous voulez

Ou collez le XML en texte

Les fichiers ne quittent pas votre navigateur : décompression et analyse se font sur votre ordinateur.

Un rapport DMARC se transforme en graphique des expéditeurs par serveur

Ce que montre un rapport DMARC

Un rapport agrégé arrive en XML : une ligne par IP ayant envoyé du courrier pour votre domaine dans la journée, avec le nombre de messages et les résultats SPF et DKIM. Le lire à l'œil est pénible, surtout avec des dizaines de rapports.

L'analyseur fusionne tous les rapports chargés en un tableau par IP et nomme les adresses d'après leur PTR. Vous voyez tout de suite d'où part votre propre courrier, quel service d'envoi n'a pas DKIM et qui envoie du courrier en votre nom.

Un message passe DMARC quand SPF ou DKIM réussit pour le domaine de l'en-tête From. La signature d'un service d'envoi sur son propre domaine passe DKIM mais ne compte pas pour DMARC.

Quand ça sert

Vous avez activé DMARC en p=none et décidez s'il faut passer à quarantine.
Le courrier de votre domaine tombe en spam et vous cherchez le serveur sans DKIM.
Vous vérifiez si quelqu'un envoie du courrier en votre nom.
Vous avez branché un nouveau service d'envoi et attendez que son courrier passe.

Questions et réponses

01Comment commencer à recevoir des rapports DMARC ?

Ajoutez à l'enregistrement DMARC une balise rua=mailto: avec votre adresse. Les rapports des grandes messageries arrivent en un ou deux jours. La page de vérification DMARC propose un générateur d'enregistrement.

02DKIM a réussi mais DMARC a échoué. Pourquoi ?

DMARC exige l'alignement : le domaine qui signe DKIM ou le domaine SPF doit correspondre au domaine de l'en-tête From. Quand un service d'envoi signe avec son propre domaine, DKIM réussit et DMARC échoue.

03Que faire des IP inconnues dans un rapport ?

Suivez le lien de l'IP pour voir le nom du serveur et le propriétaire du réseau. Si c'est votre fournisseur, votre CRM ou votre service d'envoi, ajoutez-le au SPF et configurez DKIM. Si l'adresse est étrangère, le courrier est usurpé, et p=reject l'arrête.

04Les fichiers de rapport sont-ils envoyés sur un serveur ?

Non. Votre navigateur décompresse et lit l'archive. Seules partent des requêtes DNS pour les noms de serveur par IP.

05Dans quel format doit être le rapport ?

Tel qu'il est arrivé par mail : un fichier XML ou une archive .zip ou .gz qui le contient. Inutile de le décompresser, et vous pouvez choisir plusieurs fichiers à la fois.