Configurer l'enregistrement DMARC de votre domaine dans cPanel

DMARC est un enregistrement DNS de type TXT qui indique aux serveurs qui reçoivent votre courrier quoi faire d'un message qui prétend venir de votre domaine mais ne passe pas la vérification : le distribuer quand même, l'envoyer en spam ou le rejeter. C'est une protection contre ceux qui tentent d'usurper votre domaine pour envoyer du spam ou des fraudes. Il vous permet aussi de recevoir des rapports sur qui envoie du courrier au nom de votre domaine.

DMARC s'appuie sur SPF et DKIM. Un message passe DMARC s'il passe SPF ou DKIM et si, en plus, le domaine vérifié correspond à celui de l'expéditeur que voit le destinataire (c'est ce qu'on appelle l'alignement). Gmail, Yahoo et Microsoft exigent DMARC des gros expéditeurs : il est donc conseillé de le configurer.

Créer l'enregistrement depuis cPanel

1. Dans cPanel, ouvrez Zone Editor et cliquez sur Gérer à côté du domaine.
2. Vérifiez d'abord qu'il n'existe pas déjà un enregistrement TXT nommé _dmarc.tudominio.com. S'il existe, modifiez-le au lieu d'en créer un autre : il ne peut y avoir qu'un seul enregistrement DMARC par domaine.
3. En haut à droite, dépliez Ajouter un enregistrement et choisissez Add "DMARC" Record.

Un assistant s'ouvre pour remplir l'enregistrement :

Signification de chaque champ

1. Policy : quoi faire des e-mails qui échouent à la vérification DMARC.
   • Aucun (p=none) : aucune mesure n'est appliquée, seuls des rapports sont envoyés. Idéal pour commencer.
   • Quarantaine (p=quarantine) : ils sont traités comme suspects ; ils vont généralement dans le dossier spam.
   • Reject (p=reject) : ils sont rejetés.
2. Subdomain Policy : la même chose, mais pour les sous-domaines (tienda.tudominio.com, etc.). Si vous ne l'indiquez pas, c'est celle du domaine qui s'applique.
3. DKIM Mode et SPF Mode : le degré d'exactitude exigé pour la correspondance du domaine.
   • Relaxed : accepte les sous-domaines. Un e-mail vérifié comme mail.tudominio.com vaut pour tudominio.com.
   • Strict : exige une correspondance exacte. Laissez Relaxed sauf si vous savez pourquoi vous en avez besoin.
4. Percentage, Generate Failure Reports When, Report Format et Report Interval : laissez leur valeur par défaut. La spécification actuelle de DMARC (RFC 9989, mai 2026) supprime le pourcentage et l'intervalle, et les destinataires les ignoreront de plus en plus.
5. Send Aggregate Mail Reports To : l'adresse où vous voulez recevoir les rapports quotidiens, au format mailto:dmarc@tudominio.com. Créez d'abord ce compte de messagerie. Le plus simple est qu'il soit sur le même domaine.
6. Send Failure Reports To : rapports de chaque échec individuel. Peu de fournisseurs les envoient et ils peuvent contenir des données des messages ; vous pouvez laisser ce champ vide.

L'assistant ne fait que vous aider à rédiger l'enregistrement. Dans l'onglet Raw, vous verrez le TXT final qui sera publié :

Cliquez sur Save Record pour l'enregistrer.

Quelle politique choisir

Pour commencer, utilisez Aucun avec des rapports. Ainsi, vous n'affectez aucun e-mail et, en quelques semaines, les rapports vous diront si un service (votre boutique, votre CRM, un outil de newsletters) envoie avec votre domaine sans être autorisé dans le SPF ni signé avec DKIM. L'enregistrement se présente ainsi :

v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com

Une fois que vous avez vérifié que tout passe, passez à Quarantaine. C'est une configuration sûre sans être trop stricte :

• Policy : Quarantaine
• Subdomain Policy : Aucun
• DKIM Mode et SPF Mode : Relaxed
• Send Aggregate Mail Reports To : mailto:dmarc@tudominio.com

v=DMARC1; p=quarantine; sp=none; adkim=r; aspf=r; rua=mailto:dmarc@tudominio.com

Ne passez à Reject qu'après un certain temps en quarantaine sans échec de vos propres envois.

Si vous envoyez du courrier depuis un service externe (Google Workspace, Mailchimp, Brevo…), autorisez-le d'abord dans l'enregistrement SPF et configurez dans ce service la signature DKIM avec votre domaine. Sinon, ses e-mails échoueront à DMARC.

Pour comprendre les rapports que vous recevez, consultez comment lire les rapports DMARC.

Vérifier l'enregistrement

Au bout de quelques minutes, contrôlez l'enregistrement publié avec notre vérificateur DMARC : il affiche le TXT de _dmarc, explique chaque balise et vous propose l'étape suivante.

Pour vérifier que vos e-mails respectent DMARC (et pas seulement que l'enregistrement existe), envoyez un vrai e-mail depuis votre compte à notre test de messagerie : il vérifie si SPF et DKIM passent et sont alignés avec votre expéditeur.

Si votre domaine n'utilise pas nos DNS (par exemple s'il est chez Cloudflare), créez l'enregistrement dans le panneau de ce fournisseur : un TXT nommé _dmarc avec la même valeur que celle de l'onglet Raw.

Nombreux domaines

Si vous avez beaucoup de domaines ou de comptes et qu'il vous est difficile de les configurer un par un, nous disposons d'un outil qui le fait en masse sur les comptes que vous nous indiquez. Pour chaque domaine, il :

• vérifie qu'il utilise nos DNS, indispensable pour gérer l'enregistrement depuis l'hébergement ;
• crée le compte e-mail dmarc@votredomaine.com pour recevoir les rapports ;
• publie un enregistrement DMARC peu restrictif, comme celui de l'exemple (il peut être personnalisé).

Ouvrez un ticket avec la liste des comptes ou des domaines et nous l'appliquons.