DMARC
Une politique DNS qui indique aux serveurs destinataires quoi faire du courrier qui échoue SPF et DKIM pour votre domaine, et où envoyer les rapports à ce sujet.
DMARC relie SPF et DKIM à l'adresse que les gens voient réellement, l'en-tête From. Un message passe DMARC quand SPF ou DKIM passe *et* que le domaine qui a passé correspond au domaine du From. C'est cet alignement qui empêche quelqu'un d'envoyer un courriel affichant votre adresse tout en passant SPF pour son propre domaine.
L'enregistrement se trouve à _dmarc.<domain> : v=DMARC1; p=reject; rua=mailto:reports@example.lu. La balise p= est la politique : none ne fait que rapporter, quarantine envoie les échecs en spam, reject les refuse. rua= indique où vont les rapports agrégés quotidiens ; ils vous disent qui envoie au nom de votre domaine et si cela passe.
Commencez en p=none, lisez les rapports pendant quelques semaines, corrigez chaque expéditeur légitime qui échoue, puis passez en quarantine et enfin en reject. Les grands fournisseurs de messagerie exigent désormais un enregistrement DMARC de quiconque envoie en volume, et BIMI exige une politique appliquée.