Comment vérifier l'enregistrement DMARC d'un domaine (et lire la politique)

L'enregistrement DMARC d'un domaine est un unique enregistrement TXT placé à _dmarc. devant le domaine, et sa balise p= est la politique. Saisissez le domaine dans le vérificateur DMARC : il lit l'enregistrement brut, explique chaque balise (p, sp, pct, rua, adkim, aspf) et vous dit clairement si la politique bloque les emails usurpés ou se contente de les signaler.

Vérifier l'enregistrement DMARC d'un domaine →

Vérifier DMARC avec l'outil

1. Ouvrez le vérificateur DMARC.
2. Saisissez le domaine, par exemple example.com. N'ajoutez pas _dmarc vous-même ; l'outil cherche au bon endroit.
3. Lisez d'abord la ligne de politique : none, quarantine ou reject.
4. Lisez les balises en dessous, en particulier sp= (la politique des sous-domaines) et rua= (où vont les rapports agrégés).

Le vérifier à la main

dig +short txt _dmarc.google.com
# "v=DMARC1; p=reject; rua=mailto:[email protected]"

dig +short txt _dmarc.github.com
# "v=DMARC1; p=quarantine; sp=reject; pct=100; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1"

nslookup -type=txt _dmarc.google.com
# _dmarc.google.com	text = "v=DMARC1; p=reject; rua=mailto:[email protected]"

Nous avons lancé ces commandes le 8 novembre 2026. L'enregistrement de GitHub montre la différence entre p= et sp= : les emails de github.com qui échouent à DMARC sont mis en quarantaine, ceux de ses sous-domaines sont rejetés.

dig +short txt _dmarc.docs.github.com n'a rien renvoyé, ce qui est normal. La RFC 7489, section 6.6.3 demande aux destinataires de se rabattre sur l'enregistrement du domaine organisationnel quand le domaine exact n'en a pas. La même section indique que si l'ensemble contient plus d'un enregistrement DMARC, ou aucun, le traitement DMARC n'est pas appliqué.

Comment lire le résultat

• p=none : rapports uniquement. Les emails en échec sont livrés. Les consignes pour les expéditeurs de Google exigent des expéditeurs en masse qu'ils publient DMARC et indiquent que la politique peut être réglée sur none, donc beaucoup de domaines s'arrêtent là.
• p=quarantine : les emails en échec sont traités comme suspects, généralement placés dans les spams.
• p=reject : les emails en échec sont refusés.
• pct= : la part des emails en échec à laquelle la politique s'applique. En dessous de 100, il s'agit d'un déploiement partiel.
• rua= : où vont les rapports agrégés quotidiens. Sans elle, vous ne recevez aucun rapport.
• Rien de trouvé : aucun DMARC, ou l'enregistrement a été publié sous le mauvais nom. Vérifiez que l'hôte est _dmarc, et non _dmarc.example.com.example.com.

Pour des enregistrements fonctionnels à copier, voir les exemples d'enregistrements DMARC. Pour passer de none à l'application de la politique, voir DMARC de none à reject.

Étape suivante : vérifier les adresses auxquelles vous écrivez

DMARC protège votre domaine ; il n'empêche pas les rebonds sur les adresses mortes de votre liste, qui nuisent à la même réputation d'envoi. Importez la liste sur /verify pour vérifier chaque boîte sans rien envoyer. Les 100 premières vérifications sont gratuites avec une connexion Google, sans carte.

Pro, 39 $ par mois : vérification d'emails illimitée.* Jamais décomptée, jamais coupée. Voir les tarifs.

*Usage raisonnable : les 100 000 premières vérifications du mois à pleine vitesse, puis plus lentement, jamais coupées.

À lire aussi : SPF, DKIM et DMARC expliqués, rechercher les enregistrements TXT d'un domaine.