Publier à l'aveugle : la plupart des enregistrements DMARC ne demandent aucun rapport

Publié 2026-07-03 · mis à jour 2026-07-03

Chiffres arrêtés au 2026-06-29 · méthodologie v7. Données de recensement portant sur chaque domaine publiant un enregistrement DMARC analysable, dédupliquées par domaine. La présence de rua= est mesurée sur tous les enregistrements, de sorte que son chevauchement exact avec une politique particulière n’est pas déductible — lorsque cet article formule des affirmations sur ce chevauchement, il énonce des bornes, jamais des croisements exacts. Tous les chiffres sont agrégés — nous ne publions jamais la note d’une entreprise individuelle.

La plupart des enregistrements DMARC ne surveillent rien

Sur les 65 millions de domaines qui publient un enregistrement DMARC, seuls 23 millions — soit 35,7% — incluent la balise rua= qui demande des rapports agrégés. Les autres 64,3% publient à l’aveugle : une politique figure dans l’enregistrement, mais personne n’a demandé à savoir ce qui se passe en dessous. Cela représente 42 millions de domaines dotés d’un enregistrement DMARC incapable de leur montrer quoi que ce soit.

Un enregistrement DMARC sans rapport, c’est une sonnette sans personne à la maison. Les serveurs de réception vérifient consciencieusement chaque message par rapport à lui — et leurs constatations, la liste de tous ceux qui envoient au nom de votre domaine, ne vont nulle part. Le mécanisme fonctionne ; c’est simplement le propriétaire qui n’écoute pas.

Ce que fait réellement `rua=`

DMARC comporte deux volets. Le volet politique (p=none, quarantine ou reject) indique aux destinataires quoi faire du courrier qui échoue à l’authentification. Le volet rapport — la balise rua=, une adresse de messagerie — demande aux destinataires de vous envoyer des rapports agrégés quotidiens : quels serveurs ont émis au nom de votre domaine, quel volume de courrier, et s’il a réussi SPF et DKIM.

Ce second volet constitue l’intégralité de la boucle de rétroaction. Les rapports sont ce qui vous permet de découvrir la plateforme de newsletter que personne n’a documentée, l’outil de facturation branché par le marketing, l’expéditeur fantôme dans une autre région — avant que vous n’imposiez l’application et ne les cassiez. Sans rua=, aucune de ces informations ne vous parvient jamais. L’ajouter coûte une seule modification DNS : ajoutez rua=mailto:[email protected] (ou l’adresse d’un service de surveillance) à l’enregistrement existant.

L’écart entre les étapes 2 et 3 : publié et aveugle

Dans les six étapes de la maturité DMARC, l’étape 3 — Observation — commence lorsque DMARC est publié et que les rapports agrégés circulent. Un enregistrement sans rua= n’y satisfait pas. Il se situe dans l’écart entre les étapes 2 et 3 — publié et aveugle — un lieu que le modèle laisse délibérément sans numéro propre.

Cela importe parce que chaque étape ultérieure dépend des rapports. Vous ne pouvez pas identifier vos expéditeurs (étape 4) à partir de rapports que vous ne recevez jamais ; vous ne pouvez pas imposer l’application en toute sécurité (étape 5) sans connaître vos expéditeurs. Un enregistrement aveugle n’est pas une première étape du parcours — c’est une aire de repos juste à côté. Et le recensement suggère que la plupart des détenteurs d’enregistrements y sont stationnés ou tout près : 57,5% de tous les enregistrements DMARC n’atteignent jamais l’application.

Pire qu’inutile, parce que cela ressemble à un progrès

Un enregistrement DMARC absent ressemble au moins à ce qu’il est : une lacune. Un enregistrement aveugle ressemble à une case cochée. Quelqu’un a passé une liste de conformité, ou un guide de délivrabilité, ou un correctif d’une ligne fourni par un prestataire — a publié v=DMARC1; p=none — et le scanner est passé au vert. L’organisation se sent désormais plus avancée que celle qui n’a aucun enregistrement, tout en étant fonctionnellement au même point : aucune visibilité, aucune application, aucune voie vers l’une ou l’autre.

La conséquence est silencieuse et cumulative. Les enregistrements aveugles n’échouent pas bruyamment ; ils ne génèrent simplement jamais les preuves qui justifieraient l’étape suivante. Des années plus tard, l’enregistrement affiche toujours p=none, personne ne peut dire quels expéditeurs sont légitimes, et imposer l’application paraît plus risqué que jamais — précisément parce qu’aucun rapport n’a jamais été collecté.

Ce que le recensement peut et ne peut pas dire

Parce que la présence de rua= est mesurée sur l’ensemble des 65 millions d’enregistrements — et non croisée par politique — le nombre exact d’enregistrements p=none qui sont aussi aveugles n’est pas déductible de ces marges. Les bornes restent néanmoins frappantes. 37 millions d’enregistrements (57,4% des détenteurs d’enregistrements) sont à p=none ; or seuls 23 millions d’enregistrements dans tout le recensement demandent des rapports. Ainsi, au plus 23 millions de ces enregistrements p=none peuvent recevoir des rapports — et au moins 14 millions d’entre eux n’en reçoivent assurément pas, même si chaque adresse de rapport du recensement appartenait à un domaine p=none. Quelle que soit la répartition réelle du chevauchement, des millions de domaines se trouvent en « mode surveillance » avec le moniteur débranché.

Le correctif en une modification

Si votre enregistrement DMARC n’a pas de balise rua=, le correctif est une seule modification DNS et il est sans danger quel que soit le niveau de politique :

Choisissez une destination de rapport — une boîte aux lettres que vous traiterez réellement, ou un service de surveillance DMARC gratuit ou payant qui transforme le XML en quelque chose de lisible.
Ajoutez-la à l’enregistrement : v=DMARC1; p=none; rua=mailto:[email protected]. Si la destination se trouve sur un autre domaine, ce domaine doit autoriser la réception de vos rapports (un petit enregistrement DNS supplémentaire de son côté).
Attendez quelques jours, puis lisez. Les rapports arrivent quotidiennement des principaux destinataires. Ce qu’ils montrent — chaque source qui envoie au nom de votre domaine — constitue la carte du reste du parcours.

L’enregistrement cesse alors d’être un simple meuble pour devenir un instrument. (Corriger DMARC →.)

Foire aux questions

Qu’est-ce qu’un rapport DMARC rua ? Un rapport XML agrégé que les serveurs de réception participants envoient (généralement chaque jour) à l’adresse figurant dans la balise rua= de votre enregistrement, résumant quelles sources ont émis du courrier au nom de votre domaine et s’il a réussi l’alignement SPF et DKIM. Il ne contient aucun contenu de message — uniquement l’infrastructure d’envoi et les décomptes de réussite/échec.

DMARC sans rua est-il sans valeur ? Pas sans valeur — une politique d’application bloque toujours l’usurpation sans lui. Mais à p=none, un enregistrement sans rua= ne bloque rien et ne vous montre rien — sa seule fonction restante est de cocher la case de l’exigence minimale des fournisseurs de messagerie. Et même les domaines en mode application sans rapport perdent la détection de dérive qui maintient l’application en sécurité à mesure que de nouveaux expéditeurs apparaissent. p=none n’est pas une protection dans un cas comme dans l’autre — sans rapports, ce n’est même pas une préparation.

rua= peut-il pointer vers n’importe quelle boîte aux lettres ? Oui, y compris une sur un autre domaine — la plupart des services de surveillance fonctionnent exactement ainsi. Le domaine récepteur publie un petit enregistrement de vérification autorisant vos rapports. Ce qui compte, c’est que quelque chose traite réellement le XML ; une boîte aux lettres que personne ne lit, c’est de la cécité avec des étapes supplémentaires.

Les rapports agrégés exposent-ils des données privées ? Non. Les rapports agrégés rua transportent des statistiques sur la source d’envoi et l’authentification, pas des corps de messages ni des listes de destinataires. (Les rapports d’échec ruf= distincts peuvent contenir des fragments de messages, raison pour laquelle de nombreux destinataires ne les envoient plus — rua est celui qui importe.)

Vérifiez si votre enregistrement surveille

Un enregistrement DMARC qui ne demande aucun rapport est l’une des constatations les plus faciles à corriger de tout le parcours — une seule modification DNS fait passer de l’aveugle à l’Observation. Vous pouvez vérifier en privé et gratuitement, et voir lesquels des 34 contrôles vous réussissez et comment corriger ceux que vous échouez.

Vérifiez votre domaine → · Les 6 étapes de la maturité DMARC → · Le pilier DMARC → · Données agrégées uniquement. Données stockées et traitées dans l’UE.