Qu'est-ce que l'alignement DMARC ?
L'alignement DMARC est la règle selon laquelle un contrôle SPF ou DKIM réussi ne compte pour DMARC que si son domaine correspond à l'adresse From visible. L'alignement souple accepte tout domaine de la même organisation, comme mail.example.com pour example.com. L'alignement strict exige le domaine exact. La RFC 7489 §3.1 définit les deux.
Lire le résultat
Collez les en-têtes d'un message tel qu'il est arrivé. Le vérificateur lit les Authentication-Results du serveur de réception et liste le domaine From, le domaine SPF (l'expéditeur d'enveloppe) et chaque domaine DKIM d=, chacun avec son résultat et son alignement en mode souple et strict. Il donne ensuite le verdict DMARC dans les deux modes et indique quelle partie a échoué. Rien de ce que vous collez ne quitte votre navigateur.
Raisons fréquentes d'un échec d'alignement
SPF passe pour le service d'envoi
La plupart des services d'envoi utilisent leur propre domaine de bounce : SPF passe donc pour le leur et pas pour le vôtre. SPF ne s'aligne qu'une fois le Return-Path sur votre domaine, un réglage que les services appellent custom return path ou domaine MAIL FROM personnalisé.
DKIM signé avec le domaine de la plateforme
Une signature avec d= réglé sur le domaine de la plateforme se vérifie, mais ne peut toujours pas faire passer DMARC pour le vôtre. Publiez l'enregistrement DKIM que la plateforme vous donne, pour qu'elle signe avec votre domaine.
Alignement strict et sous-domaine
Avec adkim=s ou aspf=s, mail.example.com ne s'aligne plus avec example.com. Sauf si vous avez besoin du mode strict, omettez les deux balises de l'enregistrement : le mode souple est la valeur par défaut (RFC 7489 §6.3).
Le transfert casse SPF
Un message transféré arrive au serveur final depuis l'adresse IP de celui qui transfère : SPF y échoue donc. Un DKIM aligné survit au transfert quand le contenu n'est pas modifié, c'est pourquoi DMARC ne doit pas reposer sur SPF seul.