DMARC : pourquoi votre PME doit l'activer (et comment)

Chaque jour, quelqu'un envoie des emails en votre nom

Vous avez reçu un email bizarre d'un collègue qui jure ne jamais l'avoir envoyé ? Bienvenue dans le monde du spoofing email — une technique que n'importe quel pirate peut utiliser pour envoyer des emails en se faisant passer pour votre entreprise.

Sans DMARC, rien n'empêche un inconnu d'envoyer un email avec votre adresse en expéditeur. Vos clients, fournisseurs et partenaires peuvent recevoir des factures frauduleuses, des liens piégés ou des demandes de virement — tout ça avec votre nom et votre domaine.

Résultat : votre réputation en prend un coup, vos emails légitimes finissent en spam, et dans le pire des cas, un de vos clients se fait arnaquer.

DMARC, c'est quoi exactement ?

DMARC (Domain-based Message Authentication, Reporting and Conformance) est un enregistrement DNS qui dit aux serveurs email du monde entier : "Voici comment vérifier qu'un email venant de mon domaine est bien légitime. Si ce n'est pas le cas, voilà ce qu'il faut en faire."

Concrètement, DMARC s'appuie sur deux mécanismes déjà existants :

• SPF (Sender Policy Framework) : liste les serveurs autorisés à envoyer des emails pour votre domaine
• DKIM (DomainKeys Identified Mail) : ajoute une signature cryptographique à vos emails

DMARC vérifie que SPF ou DKIM sont en place et que le domaine correspond bien à l'expéditeur affiché. Sans DMARC, SPF et DKIM existent mais personne ne dit quoi faire quand la vérification échoue.

Pourquoi c'est critique pour votre PME

1. Vos emails arrivent en boîte de réception (pas en spam)

Google et Microsoft ont durci leurs règles en 2024. Les domaines sans DMARC voient leurs emails classés en spam de plus en plus souvent. Si vos devis et factures n'arrivent pas, vous perdez du chiffre d'affaires.

2. Personne ne peut usurper votre identité

Avec une politique DMARC stricte (p=reject), les emails frauduleux envoyés avec votre domaine sont bloqués par les serveurs destinataires. Vos clients sont protégés.

3. Conformité NIS2 et bonnes pratiques ANSSI

La directive européenne NIS2, applicable depuis octobre 2024, renforce les exigences de cybersécurité pour les entreprises. L'ANSSI recommande explicitement DMARC dans ses guides de bonnes pratiques. L'activer, c'est un pas vers la conformité.

4. C'est gratuit et rapide

Contrairement à beaucoup de mesures de sécurité, DMARC ne coûte rien. C'est un simple enregistrement DNS que vous ajoutez en 5 minutes.

Comment vérifier si DMARC est activé sur votre domaine

Le moyen le plus rapide : lancez un audit gratuit sur MonAuditCyber.fr. Notre scanner vérifie automatiquement la présence et la configuration de DMARC, SPF et DKIM sur votre domaine.

Vous pouvez aussi vérifier manuellement. Ouvrez un terminal et tapez :

nslookup -type=TXT _dmarc.votredomaine.fr

Si vous n'obtenez rien, DMARC n'est pas configuré.

Comment activer DMARC en 3 étapes

Étape 1 : Vérifier SPF et DKIM

Avant d'activer DMARC, assurez-vous que SPF et DKIM sont en place. La plupart des hébergeurs email (OVH, Google Workspace, Microsoft 365) les configurent automatiquement, mais vérifiez.

Étape 2 : Ajouter l'enregistrement DMARC

Connectez-vous à votre gestionnaire DNS (OVH, Cloudflare, Gandi...) et ajoutez un enregistrement TXT :

• Nom : _dmarc
• Type : TXT
• Valeur : v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

La politique p=none ne bloque rien — elle vous permet de recevoir des rapports et de voir qui envoie des emails avec votre domaine.

Étape 3 : Passer en mode strict progressivement

Après 2-4 semaines de rapports, si tout est normal :

1. Passez à p=quarantine (les emails suspects vont en spam)
2. Puis à p=reject (les emails suspects sont bloqués)

v=DMARC1; p=reject; rua=mailto:dmarc@votredomaine.fr

Les erreurs à éviter

• Ne pas commencer directement en p=reject : vous risquez de bloquer vos propres emails si SPF/DKIM ne sont pas parfaitement configurés
• Oublier les sous-domaines : ajoutez sp=reject pour protéger aussi newsletter.votredomaine.fr, support.votredomaine.fr, etc.
• Ne pas surveiller les rapports : les rapports DMARC vous disent qui utilise votre domaine — lisez-les

Votre prochaine étape

DMARC fait partie des 50+ points de contrôle analysés par notre outil. Lancez un audit gratuit sur MonAuditCyber.fr pour savoir en 30 secondes si votre domaine est protégé — et découvrir les autres failles que vous ne soupçonnez peut-être pas.

Vous avez un certificat SSL expiré ou vous vous demandez si votre site présente des signes de vulnérabilité ? Consultez nos autres guides.