DMARC gratuit ou payant : ce que couvre vraiment chaque option

Quand le gratuit suffit vraiment

Soyons clairs, parce que trop d'articles ont peur de le dire : dans plusieurs cas, le gratuit est non seulement suffisant, mais le bon choix.

• Un seul domaine, un écosystème d'envoi simple et stable. Les envois partent d'une plateforme de messagerie et d'un ou deux outils, et ça ne bouge quasiment jamais. Une fois aligné, ça reste aligné.
• Un durcissement ponctuel vers p=reject, une fois pour toutes. L'objectif est d'atteindre l'application, puis de ne plus y toucher. Une fois p=reject posé sur un écosystème stable, il n'y a pas grand-chose à surveiller.
• Un propriétaire techniquement à l'aise. Lire un enregistrement DNS ne pose aucun problème, ouvrir un fichier XML non plus, et parser trois rapports à la main ne fait pas fuir.
• Aucune exigence de preuve de conformité. Personne ne réclame de démonstration, historique à l'appui, que le domaine est protégé depuis six mois.

Dans ce profil, payer un abonnement mensuel serait payer pour des fonctions qui ne serviront jamais. Un diagnostic gratuit au départ, une montée en politique soignée, une vérification occasionnelle : c'est amplement suffisant. Un problème qu'on n'a pas ne se paie pas.

Quand le payant gagne son prix

À l'inverse, plusieurs situations font basculer la balance — et là, s'obstiner à tout faire à la main coûte plus cher que l'abonnement, en temps et en risque.

• Beaucoup de domaines. Au-delà d'une poignée de domaines, la gestion manuelle ne tient plus. Chaque domaine a son propre inventaire de sources, son propre stade, ses propres rapports quotidiens.
• Une surveillance continue est nécessaire. L'écosystème d'envoi bouge : de nouveaux prestataires apparaissent chaque mois, le marketing branche un outil sans prévenir, une filiale ouvre un flux. Le monitoring DMARC gratuit — c'est-à-dire quelqu'un qui ouvre des XML de temps en temps — ne captera pas ces changements à temps.
• Une équipe non technique. Si la personne responsable n'est pas à l'aise avec le DNS et le XML, un service qui traduit tout en langage clair et en actions concrètes n'est pas un luxe, c'est ce qui rend le projet faisable.
• Une preuve de conformité. NIS2, DORA, un audit, un client qui exige des garanties : il faut un historique consultable et exportable, pas une boîte mail. La rétention et le reporting sont exactement ce qu'un service payant apporte.
• Aucun temps pour parser du XML. C'est souvent le vrai critère. Techniquement, tout pourrait se faire à la main. Mais le temps d'une équipe a un coût, et le passer à décoder des rapports agrégés au lieu du vrai métier est un mauvais calcul.

Le lien de fond ici, c'est que ces rapports agrégés sont précisément ce qu'un service payant ingère en continu — comprendre ce qu'ils contiennent aide à saisir ce qui est délégué. Pour ouvrir le capot, comprendre les rapports agrégés DMARC explique ce qu'on y lit et pourquoi leur lecture manuelle ne passe pas à l'échelle.

Deux exemples concrets

Rien ne vaut deux cas opposés pour rendre la décision tangible.

Cas 1 — La fondatrice solo qui durcit une fois et n'y pense plus. Camille dirige un studio de design de trois personnes. Elle émet depuis une seule plateforme de messagerie et un outil de facturation. Deux sources, c'est tout, et ça ne changera pas avant longtemps. Elle passe son domaine dans un analyseur gratuit, découvre qu'elle est en p=none, aligne son DKIM en une après-midi, laisse tourner p=none trois semaines pour vérifier que ses rapports sont propres, puis bascule en p=quarantine un weekend et enfin p=reject. Total dépensé : zéro euro. Pour son profil — un domaine, un écosystème figé, une propriétaire à l'aise techniquement — un abonnement mensuel serait de l'argent jeté. Le gratuit n'est pas un compromis ici : c'est la bonne réponse. Sa seule discipline restante : re-vérifier son domaine deux fois par an, au cas où.

Cas 2 — L'entreprise de 200 personnes où une source apparaît chaque mois. Une PME industrielle de 200 salariés, cinq domaines de marque, une quinzaine de sous-domaines. Le marketing lance des campagnes depuis de nouveaux outils sans prévenir la DSI ; les RH ont leur propre plateforme d'e-mailing ; un prestataire événementiel envoie deux fois par an au nom du domaine. Chaque mois, une nouvelle source légitime apparaît dans les rapports. Ici, la lecture manuelle est perdue d'avance : personne n'ouvrira les XML de cinq domaines tous les jours, et le jour où une source légitime se met à échouer en p=reject, l'e-mail disparaît silencieusement — un client ne reçoit jamais sa confirmation, et on l'apprend par une réclamation. Pour ce profil, un service payant qui ingère les rapports en continu, nomme chaque source, et alerte dès qu'un émetteur inconnu émerge, se rembourse au premier incident évité. Le coût de l'abonnement est dérisoire face au coût d'un flux critique cassé sans que personne ne s'en aperçoive.

Même standard, même objectif (p=reject), deux réponses opposées — parce que ce n'est pas la protection qu'on achète, c'est la capacité à la maintenir dans un environnement qui bouge.

Erreurs fréquentes

Deux pièges symétriques guettent, et ils coûtent cher dans les deux sens.

• Prendre une vérification gratuite ponctuelle pour une protection continue. L'erreur la plus répandue. Un passage dans un analyseur, un « p=reject, tout est vert » à l'écran, et le sujet est classé. Six mois plus tard, le marketing a branché trois outils, deux d'entre eux échouent l'alignement, et personne ne le sait parce que personne ne regarde. Un diagnostic photo n'est pas un système d'alerte. Le gratuit dit où en est le domaine aujourd'hui ; il ne prévient pas de ce qui change demain. Dès que l'écosystème bouge, une surveillance devient nécessaire — gratuite (quelqu'un de discipliné, tous les jours : rare) ou payante.
• Payer pour des fonctions qu'un domaine unique n'utilisera jamais. L'erreur inverse. Une fondatrice avec un seul domaine figé n'a aucun besoin de gestion multi-domaines, d'alerting temps réel ou de six mois de rétention exportable. Souscrire un plan riche « au cas où » revient à payer une assurance tous risques pour un vélo. Le service se dimensionne sur le risque réel, pas sur la peur.
• Croire que « gratuit » veut dire « sans effort ». Le gratuit est gratuit en euros, pas en temps. Parser des rapports à la main, c'est du travail. Le vrai arbitrage n'est pas « gratuit contre payant » mais « du temps interne contre un abonnement ». Ce temps se chiffre avant de conclure.
• Confondre le prix et l'adéquation. Le moins cher n'est pas le meilleur, et le plus cher non plus. Le bon choix est celui qui correspond au nombre de domaines, à la stabilité de l'écosystème et au niveau technique de l'équipe. Les critères qui comptent vraiment sont détaillés dans les fonctionnalités d'un analyseur DMARC.

Un raccourci de décision

S'il ne fallait retenir qu'une grille, la voici. Trois questions suffisent :

1. Combien de domaines ? Un seul, stable → le gratuit est probablement suffisant. Plusieurs, ou en croissance → la balance penche vers le payant.
2. L'écosystème d'envoi bouge-t-il ? Figé → le gratuit tient. Mouvant (nouvelles sources régulières) → une surveillance continue s'impose.
3. Faut-il prouver une conformité, et reste-t-il du temps pour parser du XML ? Preuve exigée ou zéro temps → le payant se justifie. Ni l'un ni l'autre, avec une équipe à l'aise techniquement → le gratuit reste le bon choix.

Trois « oui » du côté gratuit, le gratuit s'assume sans complexe. Deux ou trois « oui » du côté payant, l'abonnement se rembourse. C'est aussi simple que ça, et surtout : c'est une décision à prendre consciemment, pas un réflexe commercial à subir. Pour voir ce que couvre concrètement une offre payante et à quel palier, notre page tarifs détaille les plans par nombre de domaines.

En une phrase

DMARC est gratuit ; ce qui se paie, c'est de le faire vivre à la place d'une équipe quand les domaines sont trop nombreux, l'écosystème mouvant, l'équipe non technique ou la conformité à prouver — sinon, un bon diagnostic gratuit et une montée en politique soignée suffisent amplement.

Dans tous les cas, mieux vaut commencer par le fait, pas par l'abonnement. Un passage du domaine dans notre analyseur dit en dix secondes où en est la posture, et donc si un service payant apporterait vraiment quelque chose. Si le verdict rassure et que le profil est simple, la réponse est là. S'il révèle un écosystème plus mouvant que prévu, créer un compte laisse Thomas, le RSSI virtuel, ingérer les rapports, nommer les sources et indiquer quoi durcir sans risque. Le gratuit répond à « où en est le domaine ? » ; le payant répond à « comment garder ce constat vrai, tout seul, dans la durée ? ».