DMARC : Domain-based Message Authentication, Reporting and Conformance
Réseau
DMARC : Domain-based Message Authentication, Reporting and Conformance, authentification, rapport et conformité des messages fondés sur le domaine. « La règle publiée par un domaine pour dire aux messageries quoi faire d'un courriel qui prétend venir de lui sans pouvoir le prouver », par analogie avec la consigne laissée au gardien : « personne ne monte en mon nom sans ma carte », consigne qui ne dit évidemment rien des lettres piégées que l'on envoie soi-même.
Fonctionnement : Décrit dans la RFC 7489 (2015) et publié dans le DNS, il s'appuie sur SPF (Sender Policy Framework, liste des serveurs autorisés à envoyer) et DKIM (DomainKeys Identified Mail, signature du message). Un courriel passe DMARC si l'un des deux réussit et que le domaine vérifié est aligné sur celui de l'adresse visible « De : ».
Politique et rapports : Le domaine choisit p=none (observer), p=quarantine (mettre en indésirables) ou p=reject (refuser), et reçoit des rapports agrégés des messageries destinataires. Beaucoup de domaines restent indéfiniment en p=none, posture qui consiste à recevoir chaque jour le compte rendu détaillé de sa propre usurpation.
Ce qu'il ne garantit pas : DMARC prouve que le message vient d'un serveur autorisé par le domaine, pas que son contenu est honnête. Un courriel légitime au contenu détourné, par exemple un lien de réinitialisation fabriqué par une injection d'en-tête Host, passe tous les contrôles. Depuis 2024, Gmail et Yahoo exigent un enregistrement DMARC des expéditeurs de gros volumes.
Ce qui arrive si on s'en passe
Sans DMARC en politique de rejet, n'importe qui peut envoyer un courriel portant exactement l'adresse de l'entreprise dans le champ « De : », et une partie des messageries le livrera en boîte de réception. Les clients, les fournisseurs et les salariés reçoivent alors de fausses factures, de fausses demandes de virement ou de faux liens de connexion sous le nom réel de l'organisation. Sans lecture des rapports, l'entreprise ne sait même pas que son domaine sert ainsi, ce qui a l'avantage de préserver sa tranquillité jusqu'à la plainte du premier client.
Explication de la marmotte
Dans un courriel, l'adresse de l'expéditeur peut être falsifiée assez facilement, comme on peut écrire n'importe quel nom au dos d'une enveloppe. DMARC est une règle qu'un nom de domaine, par exemple celui d'une banque, publie sur Internet pour dire : « les vrais messages venant de moi sont signés et partent de tels serveurs ; refusez les autres ». Les messageries qui reçoivent un courriel vérifient cette règle et peuvent rejeter les faux. En revanche, DMARC ne dit rien du contenu : un vrai message peut contenir un lien dangereux.
Où ce terme est utilisé
- Déployer DMARC de observation à reject (20 occurrences)
- Déployer SPF DKIM DMARC jusqu'à reject (10 occurrences)
- Détecter le contenu IA malveillant : limites (8 occurrences)
- Comment contrer le spear phishing et la fraude au président (5 occurrences)
- Comment former contre le phishing sans culpabiliser (5 occurrences)
- Pourquoi le phishing fonctionne malgré la formation (3 occurrences)
- Fraude au président par voix clonée et visio truquée (2 occurrences)
- Mener une simulation de phishing interne éthique avec GoPhish (2 occurrences)
- Micro-formations de sensibilisation sécurité régulières (2 occurrences)
- OSINT défensif : mesurer et réduire l'exposition publique (2 occurrences)