Qu'est-ce qu'un enregistrement DMARC + Comment en ajouter un à votre DNS

Un enregistrement DMARC est un enregistrement TXT dans le DNS de votre domaine qui indique aux serveurs de messagerie quoi faire des messages qui échouent aux contrôles d'authentification. Sans lui, votre domaine est plus vulnérable à l'usurpation d'identité, et des fournisseurs comme Gmail et Microsoft sont plus susceptibles de filtrer ou de rejeter vos e-mails.

Cet article explique ce qu'est un enregistrement DMARC, ce que fait chaque balise et comment en ajouter un à votre DNS. Il couvre également les changements intervenus en 2025 et 2026, y compris le renforcement plus strict de Gmail et les exigences relatives aux expéditeurs en volume qui s'appliquent désormais à tous les principaux fournisseurs de boîtes de réception.

Pour naviguer plus rapidement dans cet article, vous pouvez utiliser les liens rapides ci-dessous pour accéder à une section spécifique :

Réparez vos e-mails WordPress maintenant

Qu'est-ce qu'un enregistrement DMARC ?

Un enregistrement DMARC est un enregistrement TXT stocké dans le DNS de votre domaine. Il contient des instructions sur la manière dont un serveur de messagerie doit traiter un message qui échoue aux contrôles d'authentification tels que SPF et DKIM. En utilisant DMARC, vous pouvez indiquer aux serveurs de réception de rejeter les e-mails suspects, de les envoyer dans le spam ou de ne prendre aucune mesure pendant que vous surveillez les résultats.

La configuration de DMARC est importante car elle aide les fournisseurs de messagerie à distinguer les e-mails légitimes des faux. Cela protège votre domaine contre le phishing, l'usurpation d'identité et la fraude au PDG, et c'est de plus en plus requis pour le placement dans la boîte de réception.

Les fournisseurs de messagerie, y compris Gmail, Yahoo et Microsoft, vérifient désormais DMARC dans le cadre de leurs exigences pour les expéditeurs en volume. Depuis novembre 2025, Gmail a émis des rejets permanents pour les e-mails non authentifiés au lieu de reports temporaires, et Microsoft a appliqué une application similaire depuis mai 2025. Si vous n'avez pas d'enregistrement DMARC configuré, Gmail pourrait bloquer vos e-mails. Lisez notre guide complet sur les exigences de Gmail pour les expéditeurs en volume si vous souhaitez plus de détails.

Si vous traitez des paiements via votre site, DMARC est également une exigence de conformité. La norme PCI DSS v4.0, qui est désormais active, exige DMARC pour toute organisation traitant des données de carte de crédit.

À quoi ressemble un enregistrement DMARC ?

Un enregistrement DMARC est un seul enregistrement TXT composé de paires clé-valeur séparées par des points-virgules. La version (v=DMARC1) et la politique (p=) sont obligatoires. Tout le reste est facultatif mais recommandé.

Voici un enregistrement DMARC typique :

v=DMARC1; p=reject; rua=mailto:[email protected]

Cet enregistrement contient trois balises : v, p et rua, avec les valeurs DMARC1, reject et mailto:[email protected].

• La balise v spécifie la version de DMARC.
• La balise p est la politique, ou l'action qu'un serveur de réception doit entreprendre si un e-mail échoue à DMARC.
• La balise rua est l’adresse e-mail à laquelle les rapports DMARC seront envoyés. Il peut s’agir de l’adresse e-mail de votre société d’hébergement, de l’adresse e-mail de votre registraire ou de la vôtre.

Voici ce que font les 3 stratégies DMARC possibles :

• Aucune : Aucune action n’est entreprise pour les messages échouant à DMARC, mais les rapports sont toujours envoyés à l’adresse e-mail que vous spécifiez afin que vous puissiez surveiller ce qui se passe avec vos e-mails. Vous pourriez recevoir un avis « Politique DMARC non activée » si la politique est définie sur aucune.
• Quarantaine : Les messages échouant aux vérifications DMARC sont envoyés dans le dossier de courrier indésirable du destinataire.
• Rejeter : Les messages échouant à l’authentification sont rejetés immédiatement, sans jamais atteindre le destinataire.

La plupart des expéditeurs commencent par p=none pour la surveillance, puis passent à p=quarantine et finalement à p=reject lorsqu’ils confirment que leur authentification est correctement configurée. Pour les expéditeurs en masse en 2026, rester sur p=none à long terme est considéré comme un signal de confiance faible, et Microsoft en particulier s’attend à une progression active vers p=quarantine ou p=reject.

Pour que DMARC réussisse réellement, vos e-mails doivent également satisfaire à l’alignement DMARC. Cela signifie que le domaine de votre en-tête From doit correspondre soit au domaine validé par SPF, soit au domaine validé par DKIM. Sans alignement, DMARC échouera même si SPF et DKIM réussissent individuellement. L’alignement est particulièrement important pour les expéditeurs en masse, car il fait partie intégrante des règles de Gmail pour les expéditeurs en masse.

Il existe plusieurs autres balises facultatives que vous pouvez utiliser, telles que pct, sp et fo. Voici une référence complète :

Balise	Obligatoire	Ce qu’elle fait
v	Oui	Version DMARC. Doit être définie sur DMARC1.
p	Oui	Politique pour les messages qui échouent à DMARC : none, quarantine ou reject.
rua	Recommandé	Adresse e-mail pour recevoir les rapports agrégés. Format : mailto:[email protected].
sp	Non	Politique pour les sous-domaines. Prend par défaut la valeur de p si elle n’est pas définie.
pct	Non	Pourcentage de messages échoués auxquels la politique s’applique (de 1 à 100). Par défaut 100.
adkim	Non	Mode d’alignement DKIM : r (relaxé, par défaut) ou s (strict).
aspf	Non	Mode d’alignement SPF : r (relaxé, par défaut) ou s (strict).
ruf	Non	Adresse e-mail pour recevoir les rapports médico-légaux. Rarement utilisée en pratique.
fo	Non	Options de rapport d’échec. Uniquement pertinent si vous avez également défini ruf=.

Vous pouvez configurer un enregistrement DMARC fonctionnel avec seulement trois balises essentielles : v, p et rua.

Si vous utilisez WP Mail SMTP pour gérer vos e-mails WordPress, il vous indiquera si DMARC n’est pas correctement configuré sur votre domaine. Vous pourriez également voir une erreur telle que « Aucun enregistrement DMARC trouvé ».

Les étapes ci-dessous vous aideront à résoudre le problème et à créer un enregistrement DMARC qui réussit.

Comment créer un enregistrement DMARC

La configuration de DMARC se fait en trois étapes : vérifier si vous avez déjà un enregistrement, ajouter un enregistrement TXT DMARC à votre DNS, et vérifier sa propagation. Voici comment procéder pour chacune d'elles, en utilisant un enregistrement générique qui fonctionnera avec n'importe quel hôte.

Comment vérifier ma configuration DMARC actuelle ?

Pour vérifier si votre domaine possède déjà un enregistrement DMARC, passez-le dans un vérificateur DMARC gratuit comme MXToolbox. Si un enregistrement existe, l'outil affiche son contenu complet. Sinon, vous verrez un message d'échec.

Tapez le nom de votre domaine dans le champ et cliquez sur Recherche DMARC.

Si vous n'avez pas configuré DMARC, l'analyseur DMARC affichera un message d'échec.

Si vous utilisez WP Mail SMTP, vous pouvez également vérifier si DMARC fonctionne en envoyant un e-mail de test. Dans le tableau de bord WordPress, cliquez sur WP Mail SMTP, puis sur Paramètres, et enfin sur l'onglet Test d'e-mail.

Envoyez un e-mail de test en utilisant le formulaire sur la page Test d'e-mail.

Après avoir envoyé l'e-mail, faites défiler vers le bas et vérifiez s'il y a un message d'avertissement.

Faites défiler un peu plus bas. Voyez-vous un avertissement indiquant Il semble que DMARC ne soit pas configuré pour votre domaine ?

Cela signifie l'une des trois choses suivantes :

• Vous n'avez pas d'enregistrement DMARC dans votre zone DNS.
• Votre enregistrement DMARC a été ajouté mais ne s'est pas encore propagé.
• L'enregistrement DMARC n'est pas formaté correctement.

Connectons-nous et ajoutons cet enregistrement DMARC ensuite.

Comment modifier les enregistrements DNS de mon domaine ?

Les enregistrements DNS sont gérés là où votre domaine est hébergé, ce qui se trouve généralement dans l'un des trois endroits : votre panneau de contrôle d'hébergement web, votre bureau d'enregistrement de domaine, ou votre fournisseur de CDN. Pour ajouter un enregistrement DMARC, vous (ou le propriétaire du domaine) devez vous connecter au fournisseur qui gère votre zone DNS.

Si vous n'êtes pas sûr de l'endroit, vous pouvez essayer :

• Votre panneau de contrôle d'hébergement web : Si vous avez acheté votre domaine et votre hébergement en un seul forfait, votre DNS est probablement géré par votre société d'hébergement web. Connectez-vous à votre panneau de contrôle d'hébergement et recherchez un menu appelé DNS ou Zone DNS.
• Votre bureau d'enregistrement DNS : Si vous avez acheté votre domaine séparément, le DNS est probablement géré par la société auprès de laquelle vous l'avez acheté.
• Votre fournisseur de CDN : Si vous utilisez un CDN comme Cloudflare, vos enregistrements DNS seront hébergés dans les paramètres du CDN.

Dans cet exemple, nous vous montrerons comment créer manuellement un enregistrement DMARC dans Cloudflare.

Les étapes de configuration de DMARC sont similaires pour d'autres bureaux d'enregistrement ou hôtes de domaine, notamment :

• GoDaddy
• SiteGround
• Bluehost

Lorsque vous ouvrez votre DNS, vérifiez bien que vous n'avez pas déjà un enregistrement DMARC configuré. Vous ne pouvez avoir qu'un seul enregistrement DMARC par domaine. Notre enregistrement d'exemple couvrira tous les sous-domaines de votre domaine et toutes les adresses e-mail à partir desquelles vous envoyez des e-mails.

En supposant que vous n'en ayez pas déjà un, ajoutons un enregistrement TXT DMARC.

Comment ajouter un enregistrement TXT DMARC ?

Un enregistrement DMARC est ajouté en tant qu'enregistrement TXT dans votre DNS. Il y a deux façons d'en ajouter un : coller manuellement un enregistrement générique, ou utiliser le générateur DMARC intégré d'un fournisseur DNS. Les deux produisent le même résultat.

Option 1 : Copier-coller un enregistrement DMARC (n’importe quel hôte)

Il est facile d’ajouter un enregistrement DMARC manuellement en utilisant notre exemple. Il n’est pas nécessaire d’utiliser un générateur DMARC.

Sur l’écran d’enregistrement DNS de votre registraire, cliquez sur Ajouter un enregistrement pour créer un enregistrement DMARC. Nous utiliserons Cloudflare dans cet exemple.

Un enregistrement DMARC est un enregistrement TXT commençant par _dmarc. Donc, dans le menu déroulant Type, sélectionnez TXT.

Dans le champ Nom, tapez _dmarc. avec le point à la fin. Certains hôtes n’ont pas besoin du point, ils le supprimeront ou afficheront une erreur. Dans ce cas, vous pouvez utiliser en toute sécurité _dmarc sans le point.

Dans le grand champ de l’enregistrement DNS, collez cet exemple d’enregistrement DMARC :

v=DMARC1; p=none; rua=mailto:[email protected]

Voici ce que fait chaque partie de la règle :

• Nous utilisons p=none car c’est le point de départ le plus sûr. Vous recevrez toujours des rapports agrégés en cas de problème avec votre authentification, mais cela n’affectera pas la livraison de vos propres e-mails. Une fois que vous aurez examiné ces rapports et confirmé que votre SPF et votre DKIM sont correctement configurés, vous pourrez passer à p=quarantine et éventuellement à p=reject.
• Modifiez l’adresse rua=mailto: pour une adresse e-mail valide que vous contrôlez. Si votre service de messagerie fournit une adresse de reporting dans sa documentation, utilisez-la. Sinon, utilisez une adresse sur votre propre domaine.

Certains fournisseurs peuvent demander une règle d’alignement. Il est possible de laisser cela de côté, car l’alignement détendu par défaut fonctionne pour la plupart des expéditeurs.

Donc, après avoir collé la règle, voici notre enregistrement DMARC finalisé :

Le paramètre TTL (Time to Live) est comme une date d’expiration pour votre DNS. Nous vous recommandons de le laisser sur Auto, ce qui correspond généralement à 4 heures. Le réglage n’est pas crucial, vous pouvez donc sélectionner en toute sécurité 24 heures ou 14400 s’il s’agit de la seule option dont vous disposez.

Enregistrez votre nouvelle règle DMARC pour ajouter l’enregistrement à votre DNS.

Si vous aviez déjà une règle DMARC dans votre DNS, vérifiez attentivement le formatage. Portez une attention particulière au champ Nom. Si vous utilisez @ ou le nom de votre domaine dans le champ Nom, cela ne fonctionnera pas.

Option 2 : Générer un enregistrement DMARC (Cloudflare uniquement)

Si vous préférez, vous pouvez générer un enregistrement DMARC depuis votre compte Cloudflare. Cloudflare dispose de générateurs d’enregistrements DNS pour SPF, DKIM et DMARC, et le générateur produit le même résultat que l’ajout manuel de l’enregistrement.

Pour commencer, cliquez sur DNS sur le côté gauche de votre tableau de bord Cloudflare.

Sur la page DNS, faites défiler vers le bas jusqu’à ce que vous voyiez Sécurité de la messagerie. Cliquez sur le bouton bleu Configurer pour continuer.

Ensuite, vous verrez des options pour générer un enregistrement DKIM, SPF ou DMARC. Cliquez sur Créer un enregistrement dans la section DMARC.

Cloudflare fournit une interface simple pour configurer l’enregistrement. Vous pouvez définir :

• Adresses e-mail de reporting : les adresses qui recevront les rapports DMARC.
• Politique : Aucune, Quarantaine ou Rejet.
• Pourcentage : le pourcentage d’e-mails auxquels la politique s’applique. Laissez à 100 % sauf si vous avez une raison de le modifier.

Lorsque vous êtes satisfait de l’enregistrement DMARC finalisé, cliquez sur Soumettre.

Combien de temps faut-il pour qu'un enregistrement DMARC se propage ?

La propagation des modifications DNS peut prendre jusqu’à 48 heures dans le monde entier. En pratique, la plupart des fournisseurs terminent la propagation en quelques heures, et Cloudflare met généralement à jour en quelques minutes.

Une fois la modification propagée, retournez à un vérificateur DMARC en ligne comme MXToolbox et exécutez à nouveau le test. Votre règle DMARC devrait apparaître dans une barre verte pour vous indiquer qu’elle fonctionne.

Vous pouvez également utiliser WP Mail SMTP pour envoyer un autre e-mail de test depuis WordPress. Cela exécutera automatiquement une nouvelle vérification de votre DNS et recherchera la configuration de votre enregistrement DMARC.

Si vous avez tout ajouté correctement, vous verrez maintenant un message de réussite comme celui-ci :

C’est tout. Vous avez ajouté avec succès un enregistrement DMARC à votre DNS.

Comment vérifier DMARC dans Postmaster Tools ?

Google Postmaster Tools affiche votre conformité DMARC dans la section Authentification, avec un statut de réussite/échec pour chaque protocole d’authentification. Si vous envoyez un volume d’e-mails significatif à des adresses Gmail, il est utile de configurer Google Postmaster Tools afin de pouvoir surveiller votre trafic authentifié.

Google a retiré Postmaster Tools d’origine en 2025 et l’a remplacé par Postmaster Tools v2, qui utilise un tableau de bord de conformité réussite/échec plutôt que les anciennes barres de réputation codées par couleur. La nouvelle version permet de voir plus facilement exactement quels contrôles d’authentification votre domaine réussit et lesquels échouent.

Le rapport vous indique combien d’e-mails ont réussi les contrôles DMARC, SPF et DKIM. Postmaster Tools ne rend compte que des e-mails que Google traite, mais comme la plupart d’entre nous envoyons à des adresses Gmail, il est utile de l’utiliser pour surveiller la délivrabilité de vos e-mails, la réputation de votre domaine et le taux de plaintes pour spam.

Réparez vos e-mails WordPress maintenant

Questions fréquemment posées sur les enregistrements TXT DMARC

Maintenant que vous savez comment créer un enregistrement DMARC, examinons d’autres questions importantes et leurs réponses.

Que signifie DMARC ?

DMARC signifie « Domain-based Message Authentication, Reporting, and Conformance » (Authentification, Rapport et Conformité des messages basés sur le domaine).

Comment fonctionne DMARC ?

DMARC fonctionne en parallèle avec SPF et DKIM. Lorsqu’un serveur reçoit un e-mail de votre domaine, il vérifie SPF et DKIM pour vérifier l’expéditeur. DMARC indique ensuite au serveur quoi faire en fonction du résultat, et si le domaine From correspond au domaine SPF ou DKIM.

En fonction de la politique DMARC que vous avez définie, le serveur peut :

• Rejeter l’e-mail directement.
• L’envoyer dans le dossier spam ou indésirable.
• Ne prendre aucune mesure, mais enregistrer le résultat dans un rapport DMARC.

C’est pourquoi il est préférable de configurer DKIM, SPF et DMARC ensemble. Avec les trois configurés, les serveurs de messagerie peuvent facilement séparer les e-mails d’un expéditeur légitime de tout message de spam envoyé en utilisant votre domaine.

DMARC génère également des rapports agrégés sur les actions qu’il a entreprises. Vous recevrez ces rapports si vous incluez votre adresse e-mail dans la balise rua=.

Les enregistrements DMARC sont-ils obligatoires ?

Les enregistrements DMARC ne sont pas légalement requis, mais ils sont pratiquement nécessaires pour le placement dans la boîte de réception à grande échelle. Gmail et Yahoo exigent DMARC pour les expéditeurs en masse (toute personne envoyant 5 000 e-mails ou plus par jour à des adresses personnelles), et Microsoft a appliqué des règles similaires depuis mai 2025.

Même si vous n’atteignez pas le seuil d’expéditeur en masse, la configuration de DMARC protège votre domaine contre l’usurpation d’identité et aide vos e-mails à atteindre la boîte de réception. La norme PCI DSS v4.0, qui est maintenant active, exige également DMARC pour tout site qui traite des données de carte de crédit.

Qui peut utiliser les enregistrements DMARC ?

Toute personne possédant un nom de domaine peut utiliser DMARC pour vérifier que les e-mails qu’elle envoie sont authentiques. Son utilisation est gratuite.

Certains fournisseurs tiers diront qu’il ne vaut pas la peine d’utiliser DMARC sur un petit site. Nous recommandons de le configurer quand même, car cela peut aider à empêcher les e-mails WordPress d’aller dans le spam.

Où sont stockés les enregistrements DMARC ?

Les enregistrements DMARC sont stockés dans votre DNS sous forme d’enregistrement TXT. Votre DNS stocke également les enregistrements SPF et DKIM.

Ensemble, ces enregistrements DNS vous protègent contre l’usurpation d’identité de domaine d’e-mail et indiquent aux serveurs de messagerie quoi faire si un e-mail non authentifié est détecté depuis votre domaine.

Combien d’enregistrements DMARC puis-je avoir ?

Vous ne pouvez avoir qu’un seul enregistrement DMARC par domaine ou sous-domaine. Si vous avez plusieurs enregistrements DMARC au même niveau de domaine, les serveurs de messagerie seront confus et vos règles DMARC ne seront pas appliquées comme prévu.

Dois-je créer un enregistrement DMARC ?

Pour la plupart des sites WordPress qui envoient un volume quelconque d’e-mails, oui. Les principaux fournisseurs de boîtes de réception (Gmail, Yahoo, Microsoft) ont rendu DMARC pratiquement obligatoire pour les expéditeurs en masse, et même les expéditeurs plus petits bénéficient de la protection qu’il offre contre l’usurpation d’identité.

Vous n’avez pas besoin d’un enregistrement DMARC si vous envoyez des e-mails à partir d’un domaine que vous ne contrôlez pas, comme une adresse Gmail.

Pouvez-vous créer un enregistrement DMARC sans DKIM ?

Oui, mais ce n’est pas recommandé. DMARC a besoin d’au moins l’un des SPF ou DKIM pour valider. Avec seulement SPF, votre configuration DMARC est plus fragile car SPF peut échouer lorsque les e-mails sont transférés.

Pour les expéditeurs en masse, SPF et DKIM sont requis, ainsi que l’alignement DMARC. Nous recommandons de configurer les trois pour tout site WordPress qui envoie des e-mails, quel que soit le volume.

Pourquoi ma vérification d’enregistrement DMARC a-t-elle échoué ?

Si vous avez ajouté votre enregistrement DMARC et qu’il n’apparaît toujours pas, il n’a peut-être pas encore été propagé. Vous pourriez voir le message « aucun enregistrement DMARC trouvé ».

Attendez 24 heures pour la propagation du DNS avant de contacter le support. Si l’enregistrement n’apparaît toujours pas après cela, vérifiez le formatage, en particulier le champ Nom. Utiliser @ ou votre nom de domaine au lieu de _dmarc est une erreur courante.

Dois-je utiliser un générateur d’enregistrements DMARC ?

Non. Dans la plupart des cas, notre exemple de DNS fonctionnera sur votre domaine. Assurez-vous simplement de changer l’adresse e-mail dans la règle avant de l’enregistrer.

Si votre fournisseur donne des instructions différentes, utilisez son enregistrement DMARC au lieu de notre exemple.

Comment lire un rapport DMARC ?

Les rapports DMARC arrivent sous forme de fichiers XML, qui ne sont pas faciles à lire sous leur forme brute. La manière la plus simple de les lire est d'utiliser un analyseur en ligne gratuit comme l'analyseur de rapports EasyDMARC, qui transforme le XML en un résumé lisible.

Si vous recevez régulièrement des rapports DMARC, des outils de surveillance dédiés comme dmarcian ou le service DMARC de Postmark peuvent agréger les rapports de plusieurs destinataires et mettre en évidence les tendances au fil du temps.

Que signifient Aggregate et Forensic ?

Les rapports agrégés (définis via rua=) résument les résultats d'authentification des e-mails par lots, généralement un rapport par domaine de réception par jour. Les rapports forensiques (définis via ruf=) fournissent des détails sur les messages individuels qui n'ont pas réussi l'authentification.

En pratique, les rapports agrégés sont ce que la plupart des expéditeurs utilisent. La plupart des fournisseurs d'e-mails, y compris Gmail, n'envoient plus de rapports forensiques pour des raisons de confidentialité, et la plupart des outils de surveillance DMARC fonctionnent entièrement à partir de données agrégées. Pour la plupart des sites WordPress, la configuration de rua= est suffisante.

Dois-je ajouter un enregistrement PTR ?

Oui, vous avez besoin d'un enregistrement PTR, mais il est peu probable que vous ayez besoin d'en créer un vous-même. Votre hébergeur web ou votre fournisseur d'e-mails s'en charge généralement. Pour plus d'informations, consultez notre article sur ce qu'est un enregistrement DNS PTR et si vous en avez besoin.

Que se passe-t-il s'il n'y a pas d'enregistrement DMARC ?

Sans enregistrement DMARC, votre domaine est plus vulnérable à l'usurpation. Les acteurs malveillants peuvent usurper votre adresse e-mail de marque pour mener des escroqueries frauduleuses contre vos clients.

Vous rencontrerez également des problèmes de livraison à grande échelle. Gmail et Microsoft traitent tous deux les e-mails non authentifiés comme suspects, et les expéditeurs en masse sans DMARC verront leurs e-mails rejetés catégoriquement. Un enregistrement DMARC protège contre ces deux problèmes.

Ensuite, corrigez les e-mails WordPress qui partent dans les spams

Les e-mails de votre site WordPress partent-ils dans les spams ? Si vous avez une boutique en ligne, les problèmes de livraison d'e-mails peuvent être un problème sérieux pour les clients attendant les confirmations de commande ou les e-mails d'expédition.

Pour résoudre ce problème, consultez notre tutoriel sur pourquoi vos e-mails WordPress partent dans les spams (et comment y remédier) afin que vos clients ne manquent plus jamais un e-mail important.

Réparez vos e-mails WordPress maintenant

Prêt à réparer vos e-mails ? Commencez dès aujourd'hui avec le meilleur plugin SMTP WordPress. Si vous n'avez pas le temps de réparer vos e-mails, vous pouvez obtenir une assistance complète de configuration "White Glove" moyennant un supplément, et il y a une garantie de remboursement de 14 jours pour tous les plans payants.

Si cet article vous a aidé, suivez-nous sur Facebook et Twitter pour plus de conseils et tutoriels WordPress.