N'importe qui peut envoyer un courriel qui semble venir de votre entreprise.

« Mais on a déjà SPF. » Pourquoi ça ne suffit pas

• SPF vérifie une adresse de retour cachée, pas la ligne d'expéditeur que votre client voit. Un faux peut réussir SPF avec le domaine de l'expéditeur et mettre quand même votre domaine dans cette ligne.
• DMARC est la règle qui regarde cet expéditeur visible et le relie à SPF ou DKIM.
• Tant que cette règle dit p=none, le faux passe quand même. C'est p=quarantine ou p=reject qui dit à Gmail et à Microsoft de le mettre aux indésirables ou de le refuser.

« On a SPF » veut dire que la liste d'invités existe. Ça ne veut pas dire que personne ne peut se faire passer pour nous.

Pourquoi ne pas passer DMARC à reject dès ce soir? Parce que votre outil de facturation, votre CRM, votre infolettre et votre système de rendez-vous envoient aussi en votre nom. Bloquez avant de connaître cette liste, et vos propres courriels se font refuser, sans que rien dans votre boîte ne vous le dise. La carte des sources vous donne cette liste, outil par outil, pour les outils que vous testez.

Nous ne voyons jamais votre boîte de courriels. Nous voyons seulement les messages de test que vous nous envoyez et votre DNS, qui est déjà public.