DMARC signifie Domain-based Message Authentication, Reporting and Conformance. L’enregistrement est publié dans le DNS sous la forme d’un enregistrement TXT au nom _dmarc suivi du domaine. Il s’appuie sur deux mécanismes préexistants, SPF et DKIM, et ajoute la notion d’alignement : le domaine authentifié doit correspondre au domaine visible par le destinataire dans le champ From.
La politique se déclare par la balise p et prend trois valeurs. La valeur none place le domaine en simple surveillance : rien n’est bloqué, mais des rapports agrégés sont envoyés à l’adresse déclarée, ce qui permet d’inventorier tous les services qui envoient au nom du domaine. La valeur quarantine demande de classer les messages non alignés en indésirables. La valeur reject demande de les refuser.
La marche à suivre habituelle consiste à publier une politique en surveillance, à lire les rapports pendant plusieurs semaines, à corriger les flux légitimes non alignés comme une plateforme d’envoi mal configurée ou un outil de facturation, puis à durcir progressivement vers quarantine et reject. Passer directement en rejet sur un domaine dont tous les émetteurs ne sont pas connus fait disparaître des messages légitimes.
DMARC ne mesure pas la qualité d’une campagne et ne garantit pas la boîte principale. Il protège l’usurpation exacte du domaine et il conditionne d’autres briques : l’affichage d’un logo de marque via BIMI exige une politique en quarantine ou en reject. Il ne remplace ni l’hygiène de liste ni la réputation d’envoi.