Vérifier le DMARC

Objectif

Vérifiez l’enregistrement DMARC d’un domaine : sa politique (none, quarantine ou reject), s’il vient d’un domaine parent, la part des e-mails à laquelle il s’applique, l’alignement et la destination des rapports.

Prérequis

Tout le monde peut lire ces guides, sans compte. Certains outils nécessitent Pro, comme indiqué dans chaque guide.

Le DMARC indique aux serveurs de réception quoi faire d’un e-mail qui prétend venir d’un domaine mais échoue à ses vérifications : le remettre, l’envoyer dans les spams ou le rejeter. Saisissez un domaine, une adresse e-mail ou un lien et nous vous montrerons sa politique DMARC et ce qu’elle signifie.

Mode d’emploi

1. 1

   Saisissez le domaine que vous voulez vérifier, ou collez une adresse e-mail ou un lien : nous n’utilisons que son domaine.

2. 2

   Appuyez sur « Vérifier le DMARC ». Nous cherchons son enregistrement à _dmarc et, s’il n’y en a pas, dans ses domaines parents, comme le font les serveurs de réception.

3. 3

   Regardez la politique : « reject » ou « quarantine » sur 100 % des e-mails protège le domaine ; « none » ne fait que surveiller.

Exemple fictif

v=DMARC1; p=reject; rua=mailto:[email protected]

Interpréter le résultat

Ce domaine n’a pas de DMARC: Il ne demande pas aux serveurs de réception d’arrêter les e-mails qui se font passer pour lui, ce qui facilite l’usurpation de son identité.

L’enregistrement DMARC contient des erreurs: Les serveurs de réception peuvent l’ignorer, ce qui laisse le domaine comme s’il n’avait pas de DMARC. Les signaux ci-dessous indiquent ce qui ne va pas.

Le DMARC ne fait que surveiller: La politique est « none » : le domaine reçoit des rapports, mais les faux e-mails en son nom sont quand même remis.

Le DMARC ne protège qu’une partie des e-mails: La politique s’applique à une part des e-mails qui échouent ; les autres sont remis comme s’il n’y avait pas de politique.

Les faux e-mails vont dans les spams: La politique est « quarantine » : les serveurs de réception envoient dans le dossier des spams les e-mails qui échouent aux vérifications.

Les faux e-mails sont rejetés: La politique est « reject » : les serveurs de réception refusent les e-mails qui se font passer pour ce domaine. C’est la protection la plus forte.

none : surveiller seulement

quarantine : envoyer en spam

reject : refuser la remise

Limites

Résoudre un problème

Cela ne ressemble pas à un domaine public. Essayez par exemple avec example.com.

Le DNS n’a pas répondu à temps. Réessayez dans quelques secondes.

Vous avez lancé beaucoup de vérifications d’affilée. Attendez une minute et réessayez.

Utiliser avec l’API

La politique DMARC d’un domaine (RFC 7489, avec la remontée DMARCbis vers les domaines parents) : l’enregistrement, l’endroit où il a été trouvé, la politique effective (none, quarantine ou reject), le pourcentage, l’alignement DKIM et SPF et les domaines qui reçoivent les rapports, jamais une adresse complète. Rien n’est enregistré.

Envoyez le corps JSON à la route propre au tool, ou à POST /v2/tools en ajoutant le champ tool. Les deux routes renvoient le même résultat.

POST https://api.nocall.io/v2/dmarc-check
POST https://api.nocall.io/v2/tools  {"tool":"dmarc-check","domain":"example.com"}

REQUEST_ID="$(uuidgen)" && [ -n "$REQUEST_ID" ] &&
curl --request POST 'https://api.nocall.io/v2/dmarc-check' \
  --header "Authorization: Bearer $NOCALL_API_KEY" \
  --header 'Content-Type: application/json' \
  --header "Idempotency-Key: $REQUEST_ID" \
  --data '{"domain":"example.com"}'

import json
import os
import urllib.request
import uuid

api_key = os.environ.get('NOCALL_API_KEY')
if not api_key:
    raise SystemExit('Set NOCALL_API_KEY')

request = urllib.request.Request(
    'https://api.nocall.io/v2/dmarc-check',
    method='POST',
    data=json.dumps({'domain': 'example.com'}).encode(),
    headers={
        'Authorization': 'Bearer ' + api_key,
        'Content-Type': 'application/json',
        'Idempotency-Key': str(uuid.uuid4()),
    },
)
with urllib.request.urlopen(request, timeout=30) as response:
    result = json.load(response)
print(result['data']['result'], result['meta']['unitsCharged'])

import { randomUUID } from 'node:crypto';

const requestId = randomUUID();
const apiKey = process.env.NOCALL_API_KEY;
if (!apiKey) throw new Error('Set NOCALL_API_KEY');

const response = await fetch('https://api.nocall.io/v2/dmarc-check', {
  method: 'POST',
  headers: {
    Authorization: 'Bearer ' + apiKey,
    'Content-Type': 'application/json',
    'Idempotency-Key': requestId,
  },
  body: JSON.stringify({ domain: 'example.com' }),
});
const result = await response.json();
if (!response.ok) throw new Error(result.error?.code ?? 'request_failed');
console.log(result.data.result, result.meta.unitsCharged);

{
  "data": {
    "tool": "dmarc-check",
    "result": {
      "domain": "example.com",
      "domainAscii": "example.com",
      "found": true,
      "record": "v=DMARC1; p=none; rua=mailto:[email protected]",
      "foundAt": "example.com",
      "inherited": false,
      "policy": "none",
      "subdomainPolicy": null,
      "effectivePolicy": "none",
      "percentage": 100,
      "alignment": {
        "dkim": "relaxed",
        "spf": "relaxed"
      },
      "reports": {
        "aggregate": [
          "example.com"
        ],
        "failure": []
      },
      "signals": [
        "policy_none"
      ],
      "valid": true,
      "attention": true
    }
  },
  "meta": {
    "requestId": "req_example",
    "unitsCharged": 1,
    "usage": {
      "periodStart": "2026-10-01",
      "unitLimit": 20,
      "unitsUsed": 3,
      "unitsRemaining": 17
    }
  }
}

• Référence API ↗

Questions fréquentes

Guides associés

• Vérifier le SPF
• Vérifier le DKIM
• Cet e-mail est-il authentique ?