La nouvelle norme DMARC est arrivée. La plupart des domaines n'ont rien à changer.

En mai 2026, les règles derrière DMARC ont été réécrites. Nous avons expliqué ce qui a changé au moment de la publication.

Depuis, vous avez probablement reçu quelques courriels à ce sujet, et certains étaient rédigés pour vous inquiéter. Voici donc la version que nous donnerions à un ami.

Votre enregistrement DMARC fonctionne toujours. Rien n'a expiré. Rien n'est brisé. Il n'y a aucune date limite. Ce qui suit, c'est chacun des changements, classé selon qu'il mérite ou non votre attention — y compris les cinq qui ne la méritent pas.

Une seule chose vaut la peine d'être vérifiée aujourd'hui

Si votre enregistrement DMARC contient pct= suivi d'un nombre inférieur à 100, lisez cette section. Sinon, passez à la suivante.

L'ancienne balise pct n'appliquait votre politique qu'à une portion de vos courriels. pct=10 voulait dire : appliquer la politique à un message sur dix. C'était la façon prudente d'adopter DMARC sans tout risquer d'un coup.

La nouvelle norme retire complètement pct, et les fournisseurs de messagerie qui l'ont adoptée ignorent désormais la balise. Un enregistrement qui indique p=reject; pct=10 ne rejette donc plus un message sur dix chez ces fournisseurs. Il les rejette tous.

C'est le seul point de cette page qui a une portée concrète, et ce n'est pas un avertissement au sujet de quelque chose à venir : c'est déjà le cas. Si vous comptiez sur pct pour freiner l'application de votre politique, ce frein n'existe plus. Allez lire votre enregistrement. Ça prend une minute.

Une nouvelle balise vaut la peine d'être ajoutée, avec deux réserves

La nouvelle balise np définit une politique pour les sous-domaines qui n'existent pas. np=reject dit au monde entier : si un message prétend venir d'un sous-domaine que nous n'avons jamais créé, jetez-le.

C'est important parce qu'inventer des sous-domaines est une tactique d'hameçonnage courante. paie.votreentreprise.com et connexion-securisee.votreentreprise.com ont l'air officiels et ne coûtent rien à un attaquant, justement parce qu'ils n'ont jamais été à vous à protéger.

Deux réserves, que vous ne trouverez pas dans la plupart des articles :

Ça ne change rien si vous êtes déjà strict. Si votre politique est p=reject, ou si vous publiez sp=reject, les sous-domaines inventés sont déjà rejetés — ils héritent de cette politique. Ajouter np=reject ne change absolument rien. Cette balise n'aide que si votre politique est plus douce que reject.

Ça ne change rien derrière un enregistrement DNS générique. Si votre DNS contient une entrée *, aucun sous-domaine chez vous n'est techniquement « inexistant » — tout nom inventé résout vers quelque chose. np ne s'applique jamais. Vérifiez la présence d'une entrée générique avant d'y compter.

Nous devons aussi corriger une chose écrite en mai. Nous disions qu'il valait la peine d'envisager np si vous avez des sous-domaines. C'est l'inverse. Moins vous avez de sous-domaines réels, plus np couvre le problème des noms inventés — puisque tout ce qu'un attaquant invente est, par définition, un sous-domaine qui n'existe pas.

Et ne commencez pas par np=none. Nous l'avions suggéré aussi, et c'était une erreur. np=none n'est pas un mode de surveillance : c'est une consigne de ne rien faire. Si votre politique est déjà quarantine ou reject, l'ajouter vous laisse plus faible qu'avant. Allez directement à np=reject, ou n'ajoutez pas la balise du tout.

Une seule vérification honnête à faire d'abord : envoyez-vous du courriel à partir d'un sous-domaine qui n'a aucun enregistrement DNS ? Certains systèmes envoient depuis [email protected] alors que ce nom n'a jamais été créé dans le DNS. C'est exactement ce que np=reject bloque. Jetez un œil à vos rapports avant d'activer la balise.

Une balise pourrait aider, mais seulement pendant une montée en puissance

t=y remplace pct. Elle demande aux destinataires de traiter votre politique publiée d'un cran plus doux qu'elle ne l'est — un reject se comporte comme un quarantine.

C'est utile si vous vous dirigez vers l'application de la politique et souhaitez un filet de sécurité pendant que vous surveillez vos rapports. À noter : c'est un simple interrupteur, pas un cadran de pourcentage, vous avez donc un contrôle moins fin que ce que pct offrait. Une fois arrivé à la politique visée, retirez-la.

Trois choses à supprimer plus tard, sans aucune urgence

pct, rf et ri sont toutes retirées. Si votre enregistrement les contient encore, elles sont ignorées et inoffensives.

Personne ne rejettera vos courriels parce que votre enregistrement contient toujours rf=afrf. Faites le ménage la prochaine fois que vous serez dans votre DNS pour une autre raison. C'est vraiment toute l'urgence qu'il y a.

La seule exception est l'avertissement sur pct ci-dessus : si vous êtes en pleine montée en puissance, comprenez ce que son retrait implique avant de la retirer.

Deux choses à ignorer complètement

psd s'adresse aux organisations qui exploitent une extension de domaine — les registres derrière des extensions comme .bank. Si ce n'est pas vous, et ce n'est presque certainement pas le cas, ignorez-la.

Le « parcours d'arbre DNS » est un changement dans la façon dont les fournisseurs de messagerie trouvent votre enregistrement. Tout se passe de leur côté. Vous le verrez expliqué longuement ailleurs ; il ne vous demande rien.

Le résumé honnête

Ce qui compte bien plus que tout cela

En août, nous avons lu les enregistrements DMARC publiés de 296 organisations québécoises. 72 % n'empêchent personne d'envoyer des courriels en leur nom. Les deux tiers d'entre elles avaient fait presque tout le travail et se sont arrêtées à un réglage de la fin.

Si c'est le cas de votre domaine, rien dans cet article n'est votre problème. Une nouvelle balise sur un enregistrement réglé à p=none, c'est une meilleure serrure sur une porte grande ouverte.

Rendez-vous d'abord à p=reject. Tout ce qui précède n'est que du ménage.

Vérifiez votre domaine

Ça prend une dizaine de secondes et ne demande que votre nom de domaine. L'outil vous dira quelle politique vous publiez, si vos sous-domaines sont couverts, et si quoi que ce soit dans cette page vous concerne réellement.

Vérifier mon domaine maintenant →

Si le résultat est plus faible que prévu, ce n'est pas une catastrophe — c'est un après-midi de travail. Écrivez-nous si vous souhaitez un coup de main pour le faire sans casser votre courriel légitime, qui est la partie qui inquiète les gens avec raison.