Construisez un enregistrement DMARC à partir de choix clairs : votre politique d’application, la destination des rapports agrégés et forensiques, le mode d’alignement et le mode test (t=y) pendant que vous durcissez la politique. Le générateur le valide à mesure et vous remet un enregistrement TXT prêt à copier pour _dmarc.votredomaine.com. Gratuit, dans votre navigateur, sans rien conserver.
DMARC est en surveillance seule
v=DMARC1;p=none Publiez ceci comme enregistrement TXT sur l’hôte _dmarc de votre domaine.
Sur un sous-domaine, publier ceci REMPLACE la politique que le domaine parent applique déjà ici. Vérifiez d’abord le domaine parent : un enregistrement plus faible sur un sous-domaine retire de la protection au lieu d’en ajouter.
Vous avez généré un enregistrement ? Vérifiez qu’il se résout avec le DMARC checker, puis voyez gratuitement où arrivent vos e-mails avec un test de placement en boîte de réception.
Créez un compte Unspam gratuit pour enregistrer vos résultats et relancer ces vérifications à tout moment, afin de repérer une configuration défaillante avant qu’elle ne vous coûte cher. Sans carte bancaire.
DMARC (Domain-based Message Authentication, Reporting and Conformance) indique aux serveurs de réception quoi faire des messages qui échouent à l’alignement SPF et DKIM, et leur demande de vous envoyer des rapports à ce sujet. Ce générateur assemble l’enregistrement TXT DMARC à partir d’options simples : la politique (none pour observer, quarantine pour envoyer les échecs en spam, ou reject pour les refuser), les adresses qui reçoivent les rapports agrégés (rua) et forensiques (ruf), le mode d’alignement pour SPF et DKIM, et le mode test t=y, qui demande aux serveurs de réception d’appliquer un niveau en dessous de votre politique pendant vos tests. Il valide le résultat avec les mêmes contrôles que notre DMARC checker. Publiez le résultat sur l’hôte _dmarc de votre domaine. DMARC a besoin d’un SPF ou d’un DKIM qui réussit et s’aligne : configurez-les d’abord.
p=none se contente d’observer et de collecter des rapports, p=quarantine envoie les messages en échec vers le dossier spam, et p=reject les refuse purement et simplement. Commencez par none pour lire vos rapports, puis passez à quarantine et reject une fois que vos messages légitimes passent.
L’endroit où les fournisseurs de messagerie envoient les rapports agrégés quotidiens. Faites-la pointer vers une boîte ou un service de traitement DMARC afin de voir qui envoie au nom de votre domaine. Sans elle, vous ne collectez rien.
Le mode souple (par défaut) permet à un sous-domaine de s’aligner avec le domaine d’organisation ; le mode strict impose une correspondance exacte. Le mode souple convient à la plupart des expéditeurs.
t=y demande aux serveurs de réception d’appliquer un niveau en dessous de votre politique pendant vos tests : quarantine est traité comme none, et reject comme quarantine. Il n’a aucun effet avec p=none. Il remplace pct, que la dernière spécification DMARC (RFC 9989, publiée en 2026) a retiré. Les serveurs qui la suivent ignorent toute valeur pct, c’est pourquoi ce générateur n’en propose pas.
Définit une politique distincte pour les sous-domaines. Laissez-la hériter de p=, ou réglez sp=reject pour verrouiller les sous-domaines depuis lesquels vous n’envoyez jamais.
Aller jusqu’à reject avant d’avoir examiné les rapports peut bloquer des messages légitimes que vous aviez oubliés. Commencez par p=none, confirmez que vos véritables expéditeurs passent, puis durcissez vers quarantine et reject.
Un enregistrement DMARC sans balise rua ne vous donne aucune visibilité sur qui envoie au nom de votre domaine, ni sur la sûreté d’un passage à l’application. Incluez toujours au moins une adresse de rapport agrégé.
DMARC se trouve sur l’hôte _dmarc : le nom complet est donc _dmarc.votredomaine.com. Le publier sur le domaine apex signifie que les serveurs de réception ne le trouveront jamais.
DMARC ne réussit que lorsque SPF ou DKIM à la fois authentifie et s’aligne avec le domaine From. Si aucun des deux ne s’aligne, même vos messages légitimes échouent à DMARC. Corrigez d’abord SPF et DKIM.
La dernière norme DMARC (RFC 9989) a retiré pct. Les serveurs qui la suivent appliquent votre politique à tous les messages en échec : un enregistrement avec p=reject et pct=25 rejette désormais chaque message en échec, et non un quart. Utilisez plutôt t=y pendant vos tests, et retirez pct des enregistrements que vous publiez déjà.
Si l’adresse rua se trouve hors du domaine que vous protégez, ce domaine doit publier un enregistrement d’autorisation nommant le vôtre. Sans cela, la plupart des émetteurs abandonnent les rapports en silence et vous attendez des données qui n’arrivent jamais.