Générateur d'enregistrement DMARC

Créez votre enregistrement DMARC pour la RFC 9989, en partant de celui que vous publiez aujourd'hui, et voyez ce que les destinataires feront des e-mails qui échouent.

Mis à jour : 25 octobre 2026

RFC 9989, 9990 et 9991 · votre enregistrement actuel lu depuis votre navigateur · rien de ce que vous saisissez n'est conservé

Votre domaineDNS lu depuis votre navigateur

Charge dans le formulaire l'enregistrement situé à _dmarc de votre domaine. Ou créez-en un ci-dessous : il se met à jour à chaque changement.

Essayez

Créé dans votre navigateur. Seules les requêtes DNS en sortent, en HTTPS vers le résolveur de Cloudflare (celui de Google en second avis).

Exemple

Un exemple d'enregistrement pour example.com

Saisissez votre domaine ci-dessus pour partir de ce qu'il publie aujourd'hui, ou modifiez ce que vous voulez ci-dessous. L'enregistrement à droite se met à jour au fur et à mesure.

pPolitique pour example.com

tMode test

t=yLes destinataires appliquent un niveau de moins : reject agit comme quarantine, quarantine comme none. Désactivez-le pour appliquer la politique.

ruaOù vont les rapports agrégés

dmarc@example.com

Des comptes quotidiens de qui envoie au nom de votre domaine. Une boîte que vous lisez, ou un service de rapports DMARC.

spSous-domaines

Par exemple news.example.com, mail.example.com…

npSous-domaines inexistants

Des noms inventés comme invoices.example.com, un favori des usurpateurs.

adkimAlignement

DKIM

SPF

Souple laisse mail.example.com compter pour example.com ; strict exige le nom exact.

Ce domaine n'envoie aucun e-mail

Tout rejeter et ajouter les enregistrements dont un domaine parqué a besoin.

Rapports d'échec et plus

rufOù vont les rapports d'échec

Un rapport par message en échec. Ils peuvent contenir le contenu du message, et Gmail et Microsoft n'en envoient pas.

foEnvoyer des rapports d'échec quand

une vérification échouetoutes les vérifications échouentDKIM échoueSPF échoue

psd= est réservé aux opérateurs de suffixes publics : il n'est donc pas proposé.

Ce qui arrive aux e-mails qui échouent à DMARC

Les e-mails qui passent ne sont jamais affectés. Pour ceux qui échouent, les destinataires lisent votre enregistrement ainsi :

Depuis example.comexample.com

p=nonedécide

—

Livréet signalé

Depuis un sous-domainenews.example.com

p=nonedécide

—

Livréet signalé

Depuis un nom qui n'existe pasx7q.example.com

p=nonedécide

—

Livréet signalé

Une politique est une demande : les destinataires ont le dernier mot. Avec Honor DMARC record policy activé, comme Microsoft le recommande, Microsoft 365 refuse les échecs reject avec 550 5.7.1 et envoie les échecs quarantine dans le dossier Junk.

Déploiement

1
Surveillancep=nonep=none avec rapports, un mois au moinsmaintenantVous êtes ici
2
Testp=quarantine; t=yquarantine avec t=y : facultatif
3
Quarantainep=quarantineau moins aussi longtemps que la surveillance
4
Rejetp=rejectsi vos utilisateurs n'écrivent pas à des listes de diffusion

Avant de publier

Prêt à publier

Un seul enregistrement, sans rien que les destinataires ignoreraient ou liraient de travers.

Bien

Où vont vos rapports

Les destinataires n'envoient des rapports à l'adresse d'une autre organisation que si elle publie un enregistrement d'autorisation.

dmarc@example.com ruaChez example.com : aucune autorisation nécessaire

Les services de rapports publient un enregistrement qui couvre tous les domaines : leurs adresses s'affichent donc en général Autorisé tout de suite.

Où coller ceci ?

Choisissez votre hébergeur DNS : les champs ci-dessous sont écrits comme son formulaire les attend.

Ligne de fichier de zone

_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Après la publication

Vérification complète: example.comLe lien contient ces réglages, jamais une clé. Interrogé depuis votre navigateur : le résolveur de Cloudflare, celui de Google en second avis.

Votre enregistrement DMARCv=DMARC1; p=none; rua=mailto:dmarc@example.com

Comment créer un enregistrement DMARC ?

Publiez un enregistrement TXT nommé _dmarc sur votre domaine, commençant par v=DMARC1, une politique et une adresse pour les rapports : le générateur ci-dessus l'écrit, et il fonctionne dès que votre hébergeur DNS le sert.

Vérifiez que vos e-mails passent déjà SPF ou DKIM, puis commencez à p=none avec une adresse rua que vous lisez : les destinataires continuent de livrer comme avant et vous envoient chaque jour des rapports sur qui envoie au nom de votre domaine.

Lisez les rapports pendant un mois au moins, corrigez chaque expéditeur légitime qui échoue, puis passez à quarantine et à reject. Un enregistrement sur votre domaine d'organisation couvre aussi ses sous-domaines.

1Publier à _dmarc_dmarc.example.com · TXT
v=DMARC1; p=none; rua=mailto:dmarc@example.com
2Les destinataires le consultentrequête TXT _dmarc.example.com
3Ils appliquent votre politiquep=none → livré
4Les rapports reviennent chaque jourrapport agrégé (XML, quotidien)dmarc@example.com

Un enregistrement, quatre étapes

Générateur DMARC : enregistrement RFC 7489 publié réécrit pour la RFC 9989, politique et autorisations de rapports — Un enregistrement publié chargé depuis le DNS : pct, rf et ri retirés avec la raison de chacun, chaque balise colorée comme son réglage, et une adresse de rapport chez une autre organisation signalée.

Que signifie chaque balise DMARC ?

Un enregistrement DMARC est une liste de paires balise=valeur : v dit ce que c'est, p ce qu'il faut faire des e-mails en échec, rua où vont les rapports, et chaque autre balise ne fait que changer une valeur par défaut.

La RFC 9989 conserve v, p, sp, adkim, aspf, rua, ruf et fo, ajoute np (noms qui n'existent pas), t (mode test) et psd (pour les opérateurs de suffixes publics), et supprime pct, rf et ri.

Seule v doit venir en premier et valoir exactement DMARC1 ; les balises que la RFC 9989 ne connaît pas sont ignorées, donc une balise supprimée est inoffensive mais ne fait rien.

Balise	Valeurs	Par défaut	Ce qu'elle fait
v	DMARC1	obligatoire	Identifie l'enregistrement ; doit venir en premier
p	none, quarantine ou reject	none (aucune)	Ce que font les destinataires des e-mails en échec venant du domaine
sp	none, quarantine ou reject	p	La même chose pour les sous-domaines existants
np nouveau	none, quarantine ou reject	sp, puis p	La même chose pour les noms qui n'existent pas
t nouveau	y · n	n	Mode test : appliquer un niveau de moins
rua	adresses mailto:	aucune	Où vont les rapports agrégés quotidiens
ruf	adresses mailto:	aucune	Où vont les rapports d'échec par message
fo	0 · 1 · d · s	0	Quand envoyer les rapports d'échec
adkim	r · s	r	Alignement DKIM : souple ou strict
aspf	r · s	r	Alignement SPF : souple ou strict
psd nouveau	y · n · u	u	Pour les opérateurs de suffixes publics uniquement
pct supprimé	0–100		Supprimé : seuls 0 et 100 fonctionnaient de façon fiable
rf supprimé	afrf		Supprimé : il n'avait qu'une seule valeur
ri supprimé	secondes		Supprimé : les rapports sont quotidiens de toute façon

Les balises de la RFC 9989

Quelle politique DMARC choisir : none, quarantine ou reject ?

Commencez à none avec des rapports, passez à quarantine quand chaque expéditeur légitime passe, puis à reject quand vous êtes sûr : la RFC 9989 demande un mois au moins à none et autant à quarantine.

none ne change rien à la livraison ; quarantine envoie les e-mails en échec dans le dossier spam ; reject les refuse. Une politique est une demande : les destinataires ont le dernier mot.

Les domaines dont les utilisateurs écrivent à des listes de diffusion NE DEVRAIENT PAS utiliser reject, car les listes qui modifient les messages font échouer DMARC pour eux. Google propose un parcours plus rapide (une semaine à none, puis une petite part à quarantine).

1
Surveillancep=none; rua=…un mois au moinsmaintenantLivré, et signalé
2
Testp=quarantine; t=yfacultatifUn niveau de moins
3
Quarantainep=quarantineau moins aussi longtempspas avant le 27 nov. 2026Dossier spam
4
Rejetp=rejectsi vos utilisateurs n'écrivent pas à des listespas avant le 27 déc. 2026Refusé

Le parcours plus rapide de Googlenone · 1 semainequarantine · une petite partquarantine 100 %reject (facultatif)

Le déploiement, avec de vraies dates à partir d'aujourd'hui

Qu'est-ce qui a changé dans DMARC avec la RFC 9989 ?

La RFC 9989 (mai 2026) a remplacé la RFC 7489 : elle a supprimé pct, rf et ri, ajouté np, t et psd, et trouve le domaine d'organisation en remontant le DNS au lieu de lire la Public Suffix List.

pct=0 se lit désormais t=y ; tout autre pct est abandonné parce que les destinataires l'appliquaient de façon incohérente. Le suffixe de taille des rapports (!10m) est ignoré.

La remontée de l'arbre interroge _dmarc au nom puis à chaque parent, huit requêtes au plus : un nom très profond devrait donc porter son propre enregistrement. Les pages d'aide de Google et de Microsoft décrivent encore pct.

Avant

v=DMARC1; p=quarantine; pct=0; rua=mailto:dmarc@example.com~~!10m~~; rf=afrf; ri=86400

Après

v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com

pct=0 est devenu t=y
rf retiré
ri retiré
!10m retiré

La remontée de l'arbre DNS_dmarc.mail.news.example.comNXDOMAIN_dmarc.news.example.comNXDOMAIN_dmarc.example.comv=DMARC1 ✓le premier enregistrement trouvé l'emporte ; huit requêtes au plus

Un enregistrement RFC 7489 publié, réécrit

Comment envoyer les rapports DMARC à un autre service ?

Mettez l'adresse du service dans rua ; quand son domaine n'est pas le vôtre, il doit publier un enregistrement d'autorisation nommé comme example.com._report._dmarc.reports.example.net (votre domaine, puis le leur), ce que font les services de rapports une seule fois pour tous les domaines avec un enregistrement générique.

Sans cet enregistrement, les destinataires n'envoient les rapports nulle part, et rien ne vous le dit. Le générateur vérifie chaque adresse extérieure en direct et affiche l'enregistrement que son propriétaire doit publier.

Utilisez une boîte ou un service prévu pour le volume : les gros expéditeurs reçoivent des centaines de rapports par jour. Les rapports d'échec (ruf) peuvent contenir le contenu des messages, et Gmail et Microsoft n'en envoient pas.

Votre enregistrement

v=DMARC1; p=none; rua=mailto:reports@rua.vendor.example.net

demande

enregistrement d'autorisationexample.com._report._dmarc.rua.vendor.example.netTXT "v=DMARC1;"

envoie le rapport

Le service de rapportsreports@rua.vendor.example.net

Services de rapports qui publient une autorisation générique

dmarcianValimailEasyDMARCPostmarkCloudflareMimecast DMARC AnalyzerProofpointAgariRed Sift OnDMARCPowerDMARCSendmarcURIportsReport URIDMARCLYFraudmarcDMARC Report

Qui vérifie quoi

DMARC pour les expéditeurs vers Gmail, Yahoo et Outlook.com

Gmail, Yahoo et Outlook.com exigent des expéditeurs en masse qu'ils publient DMARC, et p=none suffit ; le domaine De doit aussi s'aligner avec SPF ou DKIM.

Gmail et Outlook.com comptent plus de 5 000 messages par jour ; Yahoo n'indique aucun seuil. Outlook.com veut que SPF et DKIM passent tous les deux, et refuse les e-mails en échec avec 550 5.7.515.

Les logos BIMI demandent plus : quarantine ou reject sur le domaine d'organisation et le domaine De, sans politique de sous-domaine à none.

	Gmail	Yahoo	Outlook.com
Depuis	février 2024	février 2024	5 mai 2025
Qui est concerné	plus de 5 000 par jour	aucun seuil indiqué	plus de 5 000 par jour
DMARC	p=none suffit	p=none, et il doit passer	p=none, aligné
SPF et DKIM	les deux	les deux	les deux doivent passer
Alignement	SPF ou DKIM	souple suffit	SPF ou DKIM

Ce que chaque fournisseur de messagerie demande aux expéditeurs en masse

DMARC pour un domaine qui n'envoie aucun e-mail

Publiez DMARC p=reject, SPF v=spf1 -all et un MX nul, avec SPF et MX génériques pour les sous-domaines, et aucun enregistrement DKIM : c'est l'ensemble 2022 du M3AAWG pour les domaines parqués.

Comme rien n'est autorisé à envoyer, reject ne peut pas nuire aux vrais e-mails, et les destinataires refusent aussitôt les falsifications. Le M3AAWG ne conseille plus ici une clé DKIM vide (son conseil de 2015) : ne publiez aucun enregistrement DKIM.

Beaucoup de domaines parqués ? Faites pointer chaque _dmarc vers un enregistrement partagé avec un CNAME, pour qu'un changement ultérieur se fasse une seule fois.

example.net. 3600 IN TXT "v=spf1 -all"
_dmarc.example.net. 3600 IN TXT "v=DMARC1; p=reject;"
example.net. 3600 IN MX 0 .
*.example.net. 3600 IN TXT "v=spf1 -all"
*.example.net. 3600 IN MX 0 .

Un usurpateur envoie sous invoices@example.netRefusé : le SPF échoue, pas de DKIM, DMARC dit reject

L'ensemble pour domaine parqué d'example.net

Où ajouter l'enregistrement DMARC ?

Chez votre hébergeur DNS, sous forme d'enregistrement TXT nommé _dmarc : la plupart des hébergeurs ajoutent eux-mêmes votre domaine, donc vous saisissez seulement _dmarc, jamais _dmarc.example.com.

Saisir le nom complet chez un hébergeur qui ajoute le domaine crée _dmarc.example.com.example.com, un enregistrement que personne ne lit. Choisissez votre hébergeur dans le générateur pour voir ses champs exacts.

Un nom ne porte qu'un enregistrement DMARC : remplacez l'ancien au lieu d'en ajouter un second, sinon les destinataires ignorent les deux.

Hébergeur DNS	Champ Nom	Une longue valeur
Cloudflare	_dmarc	un seul champ : il découpe
GoDaddy	_dmarc	un seul champ : il découpe
Namecheap	_dmarc	un seul champ : il découpe
Squarespace	_dmarc	non documenté
Amazon Route 53	_dmarc	chaînes entre guillemets
Google Cloud DNS	_dmarc	chaînes entre guillemets
Azure DNS	_dmarc	un seul champ : il découpe
DigitalOcean	_dmarc	non documenté
Hostinger	_dmarc	non documenté
IONOS	_dmarc	non documenté
OVHcloud	_dmarc	non documenté
Porkbun	_dmarc	non documenté
cPanel	_dmarc	un seul champ : il découpe
Plesk	_dmarc	non documenté
Hetzner	_dmarc	chaînes entre guillemets
STRATO	_dmarc	non documenté
Bluehost	_dmarc	non documenté

Quoi saisir, hébergeur par hébergeur

FAQ du générateur d'enregistrement DMARC

Qu'est-ce qu'un enregistrement DMARC ?

Un enregistrement DMARC est un enregistrement TXT situé à _dmarc.votredomaine qui indique aux serveurs de messagerie destinataires quoi faire des e-mails qui prétendent venir de votre domaine mais échouent à l'alignement SPF et DKIM, et où envoyer les rapports à ce sujet. Il commence par v=DMARC1 et contient une politique : none, quarantine ou reject. La RFC 9989, publiée en mai 2026, est la norme actuelle.

Quel doit être mon premier enregistrement DMARC ?

Commencez par v=DMARC1; p=none; rua=mailto: suivi d'une adresse que vous lisez. Cela ne change rien à la livraison, mais les destinataires vous envoient chaque jour des rapports sur chaque serveur qui envoie au nom de votre domaine. Au bout d'un mois au moins, quand vos propres expéditeurs passent, passez à quarantine, puis à reject, comme le suggère la RFC 9989.

Pourquoi n'y a-t-il pas de réglage pct ?

La RFC 9989 a supprimé pct parce que les destinataires appliquaient de façon incohérente les valeurs autres que 0 et 100. Son remplaçant est t=y, le mode test, qui demande aux destinataires d'appliquer un niveau de moins que votre politique : quarantine agit comme none, reject comme quarantine. Les pages d'aide de Microsoft et de Google décrivent encore pct, mais les destinataires RFC 9989 l'ignorent, donc le générateur ne l'écrit pas.

Les rapports DMARC peuvent-ils aller vers Gmail ou Outlook ?

Oui, n'importe quelle boîte convient, mais une boîte personnelle se remplit vite : les gros expéditeurs reçoivent des centaines de rapports par jour. Si l'adresse est chez une autre organisation, ce domaine doit publier un enregistrement d'autorisation pour votre domaine, sinon les destinataires n'envoient rien. Une boîte sur votre propre domaine, ou un service de rapports DMARC, évite le problème.

Faut-il SPF et DKIM avant DMARC ?

Vous pouvez publier p=none avant tout le reste : les rapports montrent quels expéditeurs ont besoin de SPF ou de DKIM. Avant quarantine ou reject, chaque flux légitime doit passer SPF ou DKIM aligné avec votre domaine De. La RFC 9989 recommande les deux, et un domaine à reject devrait signer en DKIM, car le transfert casse le SPF.

Quelle est la différence entre rua et ruf ?

rua reçoit les rapports agrégés : des résumés XML quotidiens qui comptent les messages par serveur d'envoi et par résultat, sans contenu de message. ruf reçoit des rapports d'échec sur des messages isolés, qui peuvent inclure des en-têtes ou du contenu. Beaucoup de grands fournisseurs, dont Gmail et Microsoft, n'envoient pas de rapports d'échec : rua est donc celui qui compte, ruf est facultatif.

Faut-il utiliser l'alignement strict ?

En général non. L'alignement souple laisse les e-mails signés ou renvoyés via un sous-domaine, comme bounce.example.com, compter pour example.com, ce qui est la manière d'envoyer de SendGrid, Amazon SES et Mailgun. L'alignement strict exige le domaine exact et fait échouer ces envois. Il empêche en revanche quiconque contrôle le DNS d'un sous-domaine de se faire passer pour le parent : il convient donc aux domaines gérés de près.

À quoi servent sp et np ?

sp fixe la politique des sous-domaines qui existent, comme news.example.com, et np celle des noms qui n'existent pas du tout, comme un invoices.example.com inventé. Sans eux, les sous-domaines suivent p. Régler np=reject n'affecte que les e-mails en échec venant de noms que vous n'avez jamais créés, ce qui est souvent la manière dont les usurpateurs tentent de contourner la politique plus faible d'un parent.

Combien de temps un enregistrement DMARC met-il à fonctionner ?

Il fonctionne dès que les serveurs de votre hébergeur DNS répondent avec lui, en général quelques minutes après l'enregistrement. Un destinataire qui a interrogé juste avant peut garder l'ancienne réponse jusqu'à l'expiration de son cache. Les rapports arrivent environ un jour plus tard, car les destinataires les envoient toutes les 24 heures. Utilisez Vérifier qu'il est publié dans le générateur pour voir ce que répond le DNS maintenant.

Le générateur DMARC est-il gratuit, et mon domaine est-il conservé ?

Il est gratuit, sans inscription. L'enregistrement est créé dans votre navigateur, et le chargement de votre enregistrement actuel interroge le résolveur de Cloudflare (et celui de Google quand Cloudflare est lent) en HTTPS directement depuis votre navigateur : votre domaine ne passe donc pas par notre serveur. Le générateur n'ajoute jamais d'adresse de rapport à nous : chaque adresse de l'enregistrement est une adresse que vous avez saisie.

Générateur d'enregistrement DMARC

Un exemple d'enregistrement pour example.com