Guide de déploiement DMARC pour Microsoft 365 : passer de « none » à « reject » sans bloquer la messagerie

By Mirko Peters · 2026-10-21

Découvrez comment déployer DMARC en toute sécurité dans Microsoft 365, de la phase de surveillance jusqu’au rejet strict, sans perturber la distribution légitime des e-mails de votre organisation.

Automatically translated with AI from the original post. Read the English original

Déployer les protocoles d’authentification de la messagerie dans un locataire Microsoft 365 peut ressembler à un désamorçage de bombe si l’ordre n’est pas respecté. Ce guide pas à pas de déploiement DMARC pour Microsoft 365 accompagne les administrateurs IT dans la transition progressive, depuis la surveillance initiale jusqu’à une stratégie de rejet strict, sans faire disparaître par mégarde les factures, campagnes marketing ou alertes automatisées légitimes de l’entreprise.

Points clés

• Déployez toujours l’authentification de la messagerie dans le bon ordre : SPF en premier, puis DKIM, et enfin DMARC.
• Commencez votre stratégie DMARC avec p=none pour surveiller le trafic et cartographier l’ensemble des services d’envoi légitimes et non autorisés.
• Évitez d’atteindre la limite de 10 recherches DNS de SPF en auditant soigneusement les services tiers, comme les plateformes marketing et les outils de support.
• Passez progressivement par la quarantaine et les paliers de pourcentage avant d’adopter une stratégie de rejet strict.
• Configurez les rapports agrégés pour qu’ils soient envoyés à une boîte aux lettres partagée plutôt qu’à la boîte de réception d’une personne, afin de garantir une visibilité continue.

La règle d’or de l’ordre de déploiement

Si vous ne retenez qu’un principe pendant votre projet de renforcement de la sécurité, retenez l’ordre de déploiement. Les organisations rencontrent fréquemment des difficultés parce qu’elles mettent en œuvre les standards à l’envers. Le système de messagerie repose sur des protocoles historiques comme SMTP, conçus pour la confiance plutôt que pour la vérification ; instaurer une stratégie d’application stricte avant d’avoir cartographié votre infrastructure fera échouer les messages légitimes.

La séquence correcte construit un filet de sécurité à chaque étape. Vous devez d’abord établir votre liste d’invités, apposer vos sceaux inviolables, puis seulement introduire l’arbitre qui relie l’ensemble. Brûler les étapes vous laisse dans l’incertitude quant à vos propres flux de messagerie, et l’incertitude est le moyen le plus rapide de voir les e-mails de votre entreprise bloqués par les destinataires externes.

Étape 1 : établir SPF et les dangers des limites de recherche

Votre première action consiste à publier un enregistrement Sender Policy Framework (SPF) à la racine de votre domaine. Considérez-le comme la liste d’invités à l’entrée d’un club select : il indique explicitement au monde entier quels serveurs sont autorisés à transmettre des e-mails portant votre nom de domaine.

Lorsque vous rédigez votre enregistrement SPF initial pour Microsoft 365, terminez-le par un échec souple (~all) plutôt que par un échec strict (-all). Cela demande aux serveurs destinataires de traiter les messages non autorisés avec méfiance plutôt que de les rejeter directement. Cette période de transition vous laisse le temps de repérer les services que vous auriez pu oublier.

Éviter le piège des dix recherches

Un écueil majeur de la gestion de SPF est la limite stricte de 10 recherches DNS. Chaque fois qu’un serveur destinataire traite votre enregistrement SPF et rencontre un mécanisme nécessitant une requête DNS distincte — comme une plateforme tierce d’automatisation marketing, un outil de support client ou un prestataire de paie — il consomme une recherche de votre budget.

Si votre organisation ajoute trop de services externes, le nombre total de recherches dépassera dix, ce qui fera échouer l’évaluation complète de SPF. Les analyses de millions de domaines révèlent qu’un pourcentage étonnamment élevé d’entreprises compromettent ainsi, sans le vouloir, leur propre sécurité de messagerie. Auditez régulièrement vos services afin de garder votre empreinte SPF légère.

Étape 2 : activer DKIM dans Microsoft 365

Une fois votre liste de destinataires publiée, vous devez vous assurer que les messages ne sont pas altérés en transit. DomainKeys Identified Mail (DKIM) agit comme un sceau de cire numérique apposé sur chaque message sortant. Il comprend une signature cryptographique qui couvre l’objet, le corps du message et l’adresse visible de l’expéditeur (From).

Dans Microsoft 365, les e-mails envoyés depuis votre domaine par défaut onmicrosoft.com sont signés automatiquement. En revanche, votre domaine professionnel personnalisé reste non signé tant que vous n’avez pas configuré explicitement DKIM dans le Centre d’administration. Pour le faire correctement, vous devez créer les deux pointeurs de sélecteur (selector1 et selector2) dans votre DNS public. Cette configuration à double pointeur permet à Microsoft de faire tourner les clés de signature sans interruption de service par la suite.

Google et les autres grands fournisseurs recommandent de laisser SPF et DKIM fonctionner correctement pendant au moins 48 heures avant de toucher à DMARC. Cette période de stabilisation garantit que vos contrôles de base sont solides avant l’arrivée de l’arbitre.

Étape trois : déployer DMARC en mode surveillance

Domain-based Message Authentication, Reporting, and Conformance (DMARC) joue le rôle d’arbitre. Il n’effectue pas son propre test sur le contenu du message ; il examine plutôt les résultats de vos contrôles SPF et DKIM et vérifie s’ils correspondent au nom de domaine visible dans la ligne From.

Lorsque vous publiez pour la première fois votre enregistrement TXT DMARC à l’adresse _dmarc.votredomaine.com, le paramètre de stratégie doit être strictement défini en mode surveillance : p=none. Lu de gauche à droite, cet enregistrement indique aux serveurs destinataires : « Ceci est un enregistrement DMARC ; ne prenez pour le moment aucune mesure d’application si les contrôles échouent, et envoyez les rapports agrégés à cette adresse e-mail. »

Ne sautez jamais cette phase de surveillance. Les rapports agrégés quotidiens (RUA), livrés sous forme de fichiers XML, révéleront chaque service, légitime ou malveillant, qui envoie des e-mails au nom de votre domaine. Acheminez ces rapports vers une boîte aux lettres partagée et surveillée plutôt que vers la boîte de réception d’un collaborateur, afin qu’ils ne se perdent pas pendant les congés.

Étape quatre : passer de la quarantaine au rejet

Une fois que vos revues hebdomadaires montrent que tous les flux de messages légitimes passent correctement les contrôles d’alignement, il est temps de resserrer la vis. Le paramètre de stratégie DMARC passe par trois postures opérationnelles distinctes :

• Aucune (p=none) : la tour de guet. Purement observationnelle, elle sert à l’audit et à la collecte des données de rapports agrégés.
• Quarantaine (p=quarantine) : l’avertissement. Elle demande aux serveurs destinataires de signaler les messages suspects ou en échec, généralement en les dirigeant directement vers le dossier des courriers indésirables du destinataire.
• Rejet (p=reject) : la porte verrouillée. Elle demande aux destinataires de supprimer purement et simplement les messages non authentifiés ou usurpés avant qu’ils n’atteignent une boîte de réception.

Pour rendre cette transition aussi fluide que possible, utilisez les curseurs de pourcentage DMARC (pct=). Vous pouvez appliquer la quarantaine ou le rejet à une petite fraction des messages en échec, par exemple 10 %, puis 25 %, puis 50 %, avant de vous engager pleinement. Cette montée en charge progressive évite une perturbation soudaine de l’activité si un outil de diffusion de newsletters non déclaré passe inaperçu.

Conclusion

Sécuriser l’infrastructure de messagerie de votre organisation contre la compromission de messagerie d’entreprise (BEC) et l’usurpation de domaine exige de la patience et une stratégie de déploiement méthodique. En mettant en place SPF, en activant DKIM et en faisant monter progressivement votre stratégie DMARC, de l’observation jusqu’au rejet strict, vous protégez le nom de votre entreprise et vous garantissez que vos communications authentiques parviennent toujours à leurs destinataires.

Pour approfondir les mécanismes des protocoles d’authentification des e-mails, écoutez l’épisode complet pour des analyses d’experts, des stratégies d’architecture pratiques et des conseils concrets pour votre locataire Microsoft 365.

Questions fréquentes

Pendant combien de temps dois-je laisser ma stratégie DMARC sur none dans Microsoft 365 ?

Google et les experts en sécurité de la messagerie recommandent de maintenir votre stratégie DMARC sur p=none pendant au moins une semaine. Cette durée vous permet de collecter des rapports agrégés complets couvrant les flux de messages hebdomadaires et cycliques de l’activité.

Pourquoi dois-je activer DKIM avant d’activer DMARC ?

DKIM signe cryptographiquement le message et voyage avec lui, ce qui lui permet de survivre aux transferts d’e-mails qui rompent souvent SPF. Configurer correctement SPF et DKIM garantit que l’alignement DMARC réussit de façon fiable.

Microsoft 365 envoie-t-il des rapports DMARC forensiques ?

Non. Bien que Microsoft 365 envoie les rapports agrégés (RUA) à l’adresse de signalement que vous avez désignée, il ne génère ni n’envoie de rapports d’analyse (RUF), même si votre enregistrement DMARC les demande.

Que se passe-t-il si je publie deux enregistrements DMARC pour mon domaine personnalisé ?

La publication de plusieurs enregistrements DMARC déroute les serveurs de messagerie destinataires, qui n’appliquent alors aucune stratégie, ce qui annule complètement vos efforts en matière de sécurité. Assurez-vous toujours que votre domaine ne possède qu’un seul enregistrement DMARC de type TXT.