Entre ton domaine : en 8 secondes, tu sais si quelqu'un peut envoyer des emails en ton nom, et ce qu'il faut changer — en français, sans jargon.
DMARC est le réglage qui dit aux messageries (Gmail, Outlook, Orange…) quoi faire d'un email qui prétend venir de ton domaine sans en avoir la preuve. Sans lui, n'importe qui peut écrire à tes clients avec ton adresse : fausse facture, faux RIB, et c'est ton nom qui trinque.
Ce n'est pas un cas rare : d'après l'observatoire de l'AFNIC (2025), environ 8 domaines en .fr sur 10 n'ont toujours pas de DMARC. Vérifier DMARC, c'est savoir en 8 secondes de quel côté tu es.
Ton enregistrement DMARC contient une politique, notée p=. p=none : tu observes, mais les faux emails passent quand même. p=quarantine : les faux partent en spam chez le destinataire. p=reject : les faux sont refusés, ton nom est verrouillé.
Un tag sp= peut affaiblir la protection sur tes sous-domaines (facturation.ton-domaine.fr, par exemple). Le scan le repère aussi.
Le tag rua=mailto: indique à quelle adresse les messageries envoient, chaque jour, le compte-rendu de qui a envoyé en ton nom. Sans lui, tu es aveugle : tu ne sauras jamais qu'on t'usurpe, ni si un de tes propres outils envoie mal.
Ce sont ces rapports qui montrent si tes vrais envois sont « alignés » (SPF ou DKIM au nom de ton domaine) — la condition pour passer au blocage sans casser tes emails légitimes.
La présence de l'enregistrement _dmarc, sa syntaxe (une politique lisible), la politique choisie pour le domaine et ses sous-domaines, et la présence d'une adresse de rapports. Il vérifie aussi SPF et DKIM, dont DMARC dépend, et te rend un score sur 100 avec la liste de ce qui cloche.
Ce qu'il ne peut pas voir depuis ton DNS : si tes envois réels sont alignés, et qui envoie en ton nom en ce moment. Ça, seuls les rapports le disent — c'est exactement ce que la veille collecte pour toi, jour après jour.
Si ton domaine est en p=none, on t'explique comment passer en p=reject sans rien casser, étape par étape.
C'est un début : tu reçois les rapports, mais les faux emails passent encore. p=none est l'étape d'observation, pas la protection. Une fois que tes rapports montrent que tes vrais envois sont bien authentifiés, passe à quarantine, puis reject.
Rien ne dit aux messageries de refuser un email qui usurpe ton nom. Elles se débrouillent avec leurs propres filtres, et tes propres emails partent plus facilement en spam, Gmail et Yahoo l'exigeant désormais pour les expéditeurs réguliers.
Dans la zone DNS de ton domaine, chez l'hébergeur qui la gère (OVH, IONOS, Gandi, Cloudflare…) : un enregistrement TXT nommé _dmarc. Nos guides donnent le chemin de clics exact pour chaque hébergeur.
Tu peux, mais c'est risqué : si un de tes outils envoie sans être bien déclaré, ses emails seront refusés. Mieux vaut d'abord collecter les rapports quelques semaines, corriger ce qui manque, puis durcir la politique.
Oui : sans inscription, sans carte bancaire, autant de fois que tu veux. Seule la surveillance quotidienne avec bulletin hebdomadaire est payante.
Le scan est gratuit et sans inscription ; si tu veux qu'on surveille ton domaine tous les jours avec un bulletin chaque semaine, la veille existe à partir de 25 € HT/mois — voir les tarifs.