Échec DMARC : ce que cela signifie et comment le corriger dans WordPress

Vous voyez « dmarc=fail » dans un message de rebond ou un en-tête d'e-mail ? C'est un échec DMARC : les fournisseurs de boîte de réception n'ont pas pu confirmer que votre domaine a envoyé l'e-mail. Ils peuvent donc le mettre dans le courrier indésirable ou le rejeter complètement.

WordPress peut envoyer des e-mails dès sa sortie de la boîte, mais il ne peut pas les envoyer signés avec votre domaine. Vos enregistrements peuvent donc sembler corrects, mais l'échec est dû à l'alignement.

Dans ce guide, je vais vous expliquer comment trouver la cause et la corriger avec WP Mail SMTP.

Ce que signifie un échec DMARC

Un échec DMARC signifie que ni SPF ni DKIM n'ont réussi pour votre domaine d'expéditeur.

Réussir ne suffit pas en soi. Au moins une vérification doit réussir *et* s'aligner sur le domaine d'expéditeur.

C'est pourquoi un message peut afficher spf=pass et dkim=pass mais échouer quand même à DMARC. Les deux vérifications ont réussi, mais pour le domaine de quelqu'un d'autre. Pour plus de détails, consultez notre guide SPF, DKIM et DMARC.

La règle d'alignement dans un tableau

Chaque e-mail contient 3 domaines que DMARC compare. Voici où se trouve chacun d'eux :

DMARC réussit lorsque le domaine SPF ou le domaine DKIM correspond au domaine d'expéditeur. Voici comment les résultats se combinent :

Par défaut, DMARC utilise l'alignement souple. Cela signifie qu'un sous-domaine comme mail.example.com s'aligne toujours avec example.com.

Ce qui arrive à un e-mail qui échoue à DMARC

La suite dépend de la politique du dossier DMARC de l'expéditeur. Il existe 3 options :

• p=none : Le destinataire livre l'e-mail normalement et vous envoie un rapport.
• p=quarantine : Le destinataire déplace l'e-mail vers le spam ou les courriers indésirables.
• p=reject : Le destinataire refuse l'e-mail, et l'expéditeur reçoit un message d'erreur.

Même avec p=none, un contrôle échoué nuit à votre réputation d'expéditeur. Et depuis février 2024, Gmail et Yahoo exigent des expéditeurs en masse qu'ils réussissent l'alignement DMARC.

Erreurs de rebond DMARC par fournisseur

Chaque fournisseur de messagerie exprime un échec DMARC différemment. Si vous recevez un message d'erreur, comparez-le à ce tableau :

Si seuls les destinataires d'une seule entreprise vous renvoient des messages, demandez à leur administrateur l'en-tête Authentication-Results du message renvoyé. Il indique si SPF, DKIM ou l'alignement ont échoué de leur côté.

Comment trouver la cause dans vos en-têtes d'e-mail

Un moyen rapide de trouver la cause est de lire l’en-tête d’authentification de l’e-mail. Il vous indique quelle vérification a échoué et quel domaine chaque vérification a utilisé.

Étape 1 : Ouvrir les en-têtes de l'e-mail

Tout d’abord, envoyez un e-mail depuis votre site à votre adresse Gmail. Vous pouvez le faire depuis WP Mail SMTP » Outils » Test d’e-mail.

Ouvrez l’e-mail dans Gmail. Cliquez ensuite sur l’icône ⋮ (Plus) et choisissez Afficher l’original.

Gmail affiche un tableau récapitulatif en haut avec les résultats SPF, DKIM et DMARC. En dessous se trouve l’en-tête brut.

Étape 2 : Lire la ligne Authentication-Results

Faites défiler jusqu’à la ligne qui commence par Authentication-Results. Voici un exemple typique d’échec :

Authentication-Results: mx.google.com;
  dkim=pass [email protected] header.s=s1;
  spf=pass [email protected];
  dmarc=fail (p=REJECT sp=REJECT dis=REJECT) header.from=example.com

Comparez les 3 domaines de cette ligne :

• header.from : example.com est le domaine From.
• smtp.mailfrom : em.mailservice.net est le domaine SPF. Il ne correspond pas.
• header.i ou header.d : em.mailservice.net est le domaine DKIM. Il ne correspond pas non plus.

Donc, les deux vérifications ont réussi, mais aucune des deux n’était alignée. C’est un échec DMARC classique.

Étape 3 : Faire correspondre le résultat à une cause

Maintenant, faites correspondre le schéma que vous avez trouvé à une cause. Chacune a sa solution dans la section suivante.

Réparez vos e-mails WordPress maintenant

Causes courantes d'échec DMARC (et la correction pour chacune)

La plupart des échecs DMARC sur les sites WordPress proviennent de 7 causes. Les 2 premières sont spécifiques à WordPress, je vais donc commencer par celles-ci.

WordPress envoie via PHP Mail

Par défaut, WordPress envoie des e-mails avec la fonction mail() de PHP sur votre serveur web. Ce serveur n’a généralement pas de clé DKIM pour votre domaine.

Le chemin de retour est souvent le nom du serveur de votre hébergeur, comme [email protected]. Ainsi, SPF peut réussir pour l’hébergeur mais ne correspondra jamais à votre domaine.

Correction : Envoyez via un service d’envoi dédié avec WP Mail SMTP. J’en parle dans la section de correction ci-dessous.

Votre formulaire utilise l’adresse e-mail du visiteur comme adresse d’expéditeur

Certains plugins de formulaire vous permettent de définir l’e-mail de l’expéditeur sur un champ du formulaire. Par exemple, dans WPForms, vous pouvez définir l’adresse e-mail de l’expéditeur. Si vous la définissez sur l’adresse e-mail du visiteur, votre serveur enverra un e-mail prétendant provenir de [email protected].

Yahoo et AOL publient tous deux p=reject. J'ai vérifié au moment de la rédaction de cet article ; les deux le faisaient encore.

Donc, Yahoo et AOL rejettent ces notifications avant qu'elles ne vous parviennent.

_dmarc.yahoo.com   "v=DMARC1; p=reject; pct=100; ..."
_dmarc.aol.com     "v=DMARC1; p=reject; pct=100; ..."

Correction : Définissez l'e-mail de l'expéditeur sur une adresse de votre propre domaine. Mettez l'e-mail du visiteur dans le champ Reply-To à la place.

Vous pouvez toujours répondre en un clic.

Votre service d'envoi d'e-mails ne signe pas avec votre domaine

Vous avez connecté un service d'envoi d'e-mails, mais vous n'avez pas vérifié votre domaine dans celui-ci. Le service signe donc DKIM avec son propre domaine, comme sendlayer.net. Il utilise également son propre chemin de retour.

Les deux vérifications réussissent, mais aucune n'est alignée. C'est le modèle d'en-tête de l'exemple Authentication-Results ci-dessus.

Correction : Terminez l'authentification du domaine dans le tableau de bord de votre service d'envoi d'e-mails. Il vous fournira des enregistrements DKIM (généralement des CNAME) à ajouter à votre DNS.

Une fois qu'ils vérifient, la balise d= devient votre domaine.

Un autre service envoie des e-mails et n'est pas dans SPF

Votre site n'est probablement pas la seule chose qui envoie en tant que votre domaine. D'autres outils peuvent également envoyer :

• Google Workspace
• Un outil de newsletter
• Un service d'assistance
• Une plateforme de magasin

Disons que l'un d'eux n'est pas dans votre enregistrement SPF et ne signe pas DKIM en tant que votre domaine. Alors ses e-mails échouent à DMARC.

Correction : Listez chaque service qui envoie en tant que votre domaine. Ajoutez ensuite l'inclusion SPF de chacun et configurez son DKIM.

Vos rapports agrégés DMARC montrent chaque source, ce qui facilite la création de cette liste. Pour savoir comment ajouter plus d'un enregistrement SPF, consultez notre guide sur l'ajout de plusieurs enregistrements SPF.

Votre enregistrement SPF est incorrect ou dépasse la limite de recherche

Un enregistrement SPF défectueux échoue pour tous les expéditeurs à la fois. Les 2 problèmes les plus courants sont les enregistrements SPF en double et le dépassement de 10 recherches DNS.

Voici une configuration défectueuse avec 2 enregistrements :

example.com  TXT  "v=spf1 include:_spf.google.com ~all"
example.com  TXT  "v=spf1 include:spf.mailservice.net ~all"

Et voici la version corrigée, fusionnée en 1 enregistrement :

example.com  TXT  "v=spf1 include:_spf.google.com include:spf.mailservice.net ~all"

Correction : Fusionnez-les en un seul enregistrement et supprimez les inclusions pour les services que vous n'utilisez plus.

Comment corriger l'échec DMARC dans WordPress avec WP Mail SMTP

Pour corriger un échec DMARC dans WordPress, utilisez un service d'envoi d'e-mails qui signe avec votre domaine. Forcez ensuite un e-mail de l'expéditeur sur ce domaine et ajoutez les enregistrements DNS du service d'envoi d'e-mails.

WP Mail SMTP gère les paramètres du service d'envoi d'e-mails et de l'e-mail de l'expéditeur. Voici les étapes.

Étape 1 : Connecter un service de messagerie qui signe avec votre domaine

Accédez à WP Mail SMTP » Paramètres et cliquez sur Lancer l'assistant de configuration. Choisissez ensuite un service d'envoi d'e-mails, tel que SendLayer, Brevo, Mailgun ou Amazon SES.

L'assistant vous guide dans la connexion du compte.

Le guide de configuration de chaque service d'envoi d'e-mails couvre également la vérification de votre domaine. C'est la partie qui corrige l'alignement DKIM.

Étape 2 : Définir et forcer l'e-mail de l'expéditeur

Une fois votre service de messagerie configuré, accédez à WP Mail SMTP » Paramètres » Général. Dans le champ E-mail de l'expéditeur, saisissez une adresse du domaine que vous avez authentifié.

Cochez ensuite la case Forcer l'e-mail de l'expéditeur. Cela oblige chaque plugin à utiliser cette adresse, y compris les plugins de formulaire configurés avec l'e-mail du visiteur.

Voici à quoi ressemblent les paramètres de mon site de test :

From Email:        [email protected]
Force From Email:  On
From Name:         Example Store
Force From Name:   Off

Étape 3 : Ajoutez les enregistrements SPF et DKIM du service de messagerie

Ajoutez maintenant les enregistrements DNS que votre service de messagerie vous a fournis. La plupart fournissent des CNAME DKIM et un include SPF.

Voici à quoi peut ressembler un ensemble complet :

example.com              TXT    "v=spf1 /include:spf.mailservice.net ~all"
s1._domainkey.example.com  CNAME  s1.domainkey.mailservice.net
_dmarc.example.com       TXT    "v=DMARC1; p=none; rua=mailto:[email protected]"

Les noms d'hôte de votre service de messagerie seront différents, copiez-les donc depuis son tableau de bord.

Les modifications DNS peuvent prendre de quelques minutes à quelques heures pour apparaître.

Étape 4 : Testez la correction avec Email Detective

Une fois vos enregistrements actifs, envoyez un nouveau test. Je recommande de vérifier deux fois : une fois avec le Test d'e-mail, puis avec Email Detective. Heureusement, WP Mail SMTP inclut les deux options de test.

Pour envoyer un e-mail de test, accédez à WP Mail SMTP » Outils » Test d'e-mail et envoyez un e-mail de test. S'il détecte un problème SPF, DKIM ou DMARC, vous verrez les Résultats de la vérification du domaine avec la solution.

Ensuite, cliquez sur l'onglet Email Detective sur la même page. C'est un vérificateur de délivrabilité gratuit de SendLayer, intégré à WP Mail SMTP.

Entrez votre adresse e-mail et cliquez sur Exécuter un test de délivrabilité. Votre site envoie un test via votre connexion principale, et Email Detective vous envoie par e-mail un lien vers le rapport.

Ouvrez le rapport et regardez Authentification. SPF, DKIM et DMARC devraient tous réussir.

Si l'un échoue toujours, la liste Ce qu'il faut corriger indique le problème. Voici un exemple de rapport où DKIM est manquant :

Faites correspondre ce problème au tableau des causes dans Comment trouver la cause dans vos en-têtes d'e-mail, puis corrigez et re-testez. Pour la liste de contrôle complète des tests, consultez notre guide sur Comment tester la délivrabilité des e-mails.

Dépannage des échecs DMARC après la configuration

Échec toujours après les 4 étapes ? Voici les 3 symptômes que je vérifierais en premier.

DKIM affiche toujours le domaine du service de messagerie

Votre domaine n'est pas encore vérifié dans le service de messagerie. Vérifiez la page du domaine dans le tableau de bord de votre service de messagerie et confirmez que chaque enregistrement DKIM est indiqué comme vérifié.

Si vous venez d'ajouter les enregistrements, attendez quelques heures pour le DNS. Envoyez ensuite un nouveau test.

SPF affiche Permerror

Vous avez probablement 2 enregistrements SPF, ou vous avez dépassé 10 recherches DNS. Fusionnez vos enregistrements en un seul, comme montré dans la cause SPF incorrecte ci-dessus.

DMARC réussit les tests mais échoue pour un destinataire

Cela pointe vers un transfert ou une passerelle du côté du destinataire. Demandez à l'administrateur de ce destinataire l'en-tête Authentication-Results de la copie renvoyée.

Comment faire en sorte que vos e-mails réussissent DMARC

La plupart des échecs DMARC se produisent lorsqu'une personne ajoute un nouveau service d'envoi. Voici quelques habitudes à adopter pour les détecter rapidement :

1. Conservez les rapports rua activés : Les rapports agrégés listent chaque serveur envoyant au nom de votre domaine. Cela inclut ceux que vous avez oubliés.
2. Vérifiez les nouveaux outils avant qu'ils n'envoient : Configurez SPF et DKIM pour un nouveau service avant de l'activer.
3. Activez les journaux d'e-mails : WP Mail SMTP Pro enregistre chaque e-mail envoyé par votre site. Vous repérerez rapidement les échecs.
4. Procédez lentement à la mise en application : Restez sur p=none jusqu'à ce que les rapports soient clairs. Passez ensuite à quarantine.

Gardez à l'esprit que WP Mail SMTP ne contrôle que les e-mails envoyés par votre site WordPress. Les e-mails de Google Workspace ou de votre outil de newsletter nécessitent toujours leur propre configuration.

Ensuite, appliquez votre politique DMARC à l'application

Une fois que vos e-mails réussissent DMARC, la prochaine étape consiste à activer la protection. Mon guide pour corriger l'avertissement "Politique DMARC non activée" couvre cela.

Il vous montre comment passer de p=none à reject en toute sécurité. C'est l'étape qui indique aux fournisseurs de messagerie de rejeter les e-mails usurpés de votre domaine.

Réparez vos e-mails WordPress maintenant

Prêt à réparer vos e-mails ? Commencez dès aujourd'hui avec le meilleur plugin SMTP WordPress. Si vous n'avez pas le temps de réparer vos e-mails, vous pouvez obtenir une assistance complète de configuration "White Glove" moyennant un supplément, et il y a une garantie de remboursement de 14 jours pour tous les plans payants.

Si cet article vous a aidé, suivez-nous sur Facebook et Twitter pour plus de conseils et tutoriels WordPress.