Vos rapports de courriel ont une adresse. Est-ce que quelqu'un les reçoit vraiment?

Cet article s'adresse à deux personnes à la fois : la personne propriétaire de l'entreprise, et celle qui a configuré son site ou son courriel : la firme web, le consultant TI, l'agence numérique. Lisez-le ensemble, ou transférez-le à l'autre. Si vous voulez seulement l'essentiel, allez directement à la fin.

Chaque jour, quelqu'un vous écrit un rapport

Quand votre entreprise envoie un courriel, les grands fournisseurs de messagerie (Gmail, Outlook, Yahoo et d'autres) vérifient que chaque message vient vraiment de vous. Une fois par jour, ils peuvent vous renvoyer un résumé : « Voici tous les serveurs qui ont envoyé du courriel en votre nom hier. Ceux-ci ont passé. Ceux-là ont échoué. »

Ce résumé est le seul endroit où vous pouvez voir, par exemple, que :

• le formulaire de contact de votre site ne passe plus la vérification depuis mardi dernier;
• vos factures, envoyées par le logiciel comptable, arrivent dans les indésirables;
• le système de billets, l'ERP, l'outil de prise de rendez-vous ou l'infolettre n'ont jamais été configurés pour envoyer correctement en votre nom;
• quelqu'un que vous ne connaissez pas envoie des courriels en se faisant passer pour vous.

C'est vous qui choisissez où vont ces rapports. C'est une seule adresse, inscrite dans les réglages publics de votre domaine.

Souvent, ils vont à la personne qui a tout configuré

C'est logique. Votre firme web ou votre consultant TI a mis en place la protection de votre courriel, alors il a inscrit son adresse, pour garder un œil sur tout ça pour vous. C'était une bonne idée.

Mais il y a une règle dont presque personne ne parle. Quand les rapports vont à une adresse sur le domaine d'une autre entreprise, cette entreprise doit publier une courte note publique qui dit « oui, nous acceptons les rapports pour ce client ». Sans cette note, les fournisseurs de messagerie considèrent que les rapports ne sont pas voulus, et ils les jettent.

Aucun message d'erreur, aucun retour, aucun avertissement. Le propriétaire croit que quelqu'un surveille, et le consultant croit qu'il n'y avait rien à signaler. Les deux se trompent, et aucun des deux ne peut le savoir.

Personne n'a mal fait son travail. C'est une petite règle, enfouie dans la norme, qu'on n'enseigne tout simplement pas aux gens du web et du marketing. Parmi les domaines que nous suivons, 3 198 envoient leurs rapports à une entreprise qui n'a jamais publié cette note. 88 firmes reçoivent les rapports de cinq clients ou plus; la plus grande, de 64. Ce sont de bonnes firmes. Elles ne le savaient simplement pas.

Ce que ça coûte : rien, jusqu'à ce que quelqu'un se plaigne

Quand personne ne reçoit les rapports, personne ne sait ce qui échoue. Le formulaire de contact, les factures, le système de billets, l'ERP : n'importe lequel peut envoyer des courriels qui ne passent pas, et le premier signe, c'est un client qui dit « Je n'ai jamais reçu votre facture », ou un prospect qui n'a jamais eu de réponse.

C'est pire une fois que le domaine est réglé pour bloquer les faux courriels, ce qui est le bon objectif. Un outil qui n'a jamais été bien configuré est alors bloqué lui aussi, et le rapport qui aurait dit « c'est votre propre logiciel comptable qui est bloqué » finit dans la déchiqueteuse.

Et même si tout fonctionne aujourd'hui

Disons que tout passe ce matin. Le mois prochain, l'agence change de plateforme d'infolettre, quelqu'un modifie un réglage DNS, ou le logiciel comptable change de serveurs. Sans rapports, personne ne saura qu'un maillon de la chaîne a lâché. C'est pour ça que la surveillance compte, même pour un domaine qui va bien aujourd'hui.

• Nous l'expliquons dans Pourquoi la surveillance via DMARC est importante.
• Il y a aussi une vidéo d'une minute en haut de notre page de tarifs.

Si vous êtes propriétaire de l'entreprise

Vous n'avez rien de technique à faire. Deux choses :

1. Transférez cet article à la personne qui a configuré votre site ou votre courriel, et demandez-lui : « Est-ce que tu reçois vraiment nos rapports de courriel? »
2. Vérifiez votre domaine gratuitement. Vous verrez ce que votre domaine publie aujourd'hui.

Si vous l'avez configuré pour vos clients

La correction se fait sur votre domaine, une seule fois, et couvre tous les clients dont les rapports vous sont adressés. Dans votre DNS, ajoutez un enregistrement TXT :

*._report._dmarc.votrefirme.com    TXT    "v=DMARC1"

Remplacez votrefirme.com par le domaine de l'adresse de rapports que vous avez donnée à vos clients. Si votre panneau DNS refuse l'étoile, ajoutez plutôt une ligne par client, avec le domaine du client à la place de l'étoile : client.com._report._dmarc.votrefirme.com.

Vérifiez comme le font les fournisseurs de messagerie : cherchez le nom d'un vrai client, par exemple client.com._report._dmarc.votrefirme.com, et assurez-vous que la réponse est v=DMARC1. Regarder seulement la ligne avec l'étoile ne suffit pas : certains panneaux DNS enregistrent l'étoile comme du simple texte, et elle ne couvre alors personne.

Ensuite, laissez passer un jour ou deux. Les rapports commencent à arriver, et vous voyez enfin ce que font les outils de vos clients. (La norme appelle ça un enregistrement de vérification de destination externe, RFC 7489, section 7.1. Vous n'avez pas besoin du nom, seulement de la ligne.)

Recevoir les rapports, ce n'est pas les lire. Les rapports bruts sont des fichiers pleins d'adresses de serveurs. Si vous préférez ne pas y passer vos matinées, nous pouvons surveiller les domaines de vos clients avec vous : vous gardez le client, et vous touchez 35 % de ce qu'il achète, tant qu'il reste. Voir le programme partenaire (page en anglais).

La version courte

1. Les rapports de courriel de votre domaine vont quelque part. Souvent à votre firme web ou à votre consultant TI.
2. Si le domaine de cette firme n'a jamais dit « nous les acceptons », les rapports sont jetés, et personne ne sait que votre formulaire, vos factures ou votre ERP échouent, jusqu'à ce qu'un client se plaigne.
3. La correction tient en une ligne sur le domaine de la firme, et ensuite quelqu'un doit vraiment surveiller. Vérifiez votre domaine pour commencer.